Amazon Linux AMI：libtiff (ALAS-2014-365)

medium Nessus 插件 ID 78308

语言：

简介

远程 Amazon Linux AMI 主机缺少安全更新。

描述

libtiff 4.0.3 中 tools/tiff2pdf.c 的 t2p_readwrite_pdf_image 函数中的释放后使用漏洞允许远程攻击者通过构建的 TIFF 图像来造成拒绝服务（崩溃）或者可能执行任意代码。

libtiff 4.0.3 和更早版本中 gif2tiff 工具中的 LZW 解压缩程序允许上下文有关的攻击者通过构建的 GIF 图像来造成拒绝服务（越界写入和崩溃）或者可能执行任意代码。

libtiff 4.0.3 和更早版本的 gif2tiff 工具中 readgifimage 函数中基于堆的缓冲区溢出允许远程攻击者通过 GIF 图像中构建的高度和宽度值来造成拒绝服务（崩溃）或者可能执行任意代码。

4.0.3 之前的 libtiff 中的多种缓冲区溢出允许远程攻击者通过构建的 (1) GIF 图像中的扩展区块或 (2) tools/gif2tiff.c 的 GIF 栅格图像或 (3) tools/rgb2ycbcr.c 的 TIFF 图像的长文件名来造成拒绝服务（越界写入）。注意：Red Hat 对矢量 1 和 3 有争议，其中指出输入不能超过分配的缓冲区大小。

解决方案

请运行“yum update libtiff”更新系统。

另见

https://alas.aws.amazon.com/ALAS-2014-365.html

插件详情

严重性: Medium

ID: 78308

文件名: ala_ALAS-2014-365.nasl

版本: 1.3

类型: local

代理: unix

系列: Amazon Linux Local Security Checks

发布时间: 2014/10/12

最近更新时间: 2018/4/18

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6.8

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

漏洞信息

CPE: p-cpe:/a:amazon:linux:libtiff, p-cpe:/a:amazon:linux:libtiff-debuginfo, p-cpe:/a:amazon:linux:libtiff-devel, p-cpe:/a:amazon:linux:libtiff-static, cpe:/o:amazon:linux

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

补丁发布日期: 2014/6/26

参考资料信息

CVE: CVE-2013-4231, CVE-2013-4232, CVE-2013-4243, CVE-2013-4244

ALAS: 2014-365