来自 Red Hat 安全公告 2017:1865： 更新现可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 X11 (Xorg) 库提供在所有 X Window 应用程序中使用的库例程。 下列程序包已升级到更新的上游版本： libX11 (1.6.5)、libXaw (1.0.13)、libXdmcp (1.1.2)、libXfixes (5.0.3)、libXfont (1.5.2)、libXi (1.7.9)、libXpm (3.5.12)、libXrandr (1.5.1)、libXrender (0.9.10)、libXt (1.1.5)、libXtst (1.2.3)、libXv (1.0.11)、libXvMC (1.0.10)、libXxf86vm (1.1.4)、libdrm (2.4.74)、libepoxy (1.3.1)、libevdev (1.5.6)、libfontenc (1.1.3)、libvdpau (1.1.1)、libwacom (0.24)、libxcb (1.12)、libxkbfile (1.0.9)、mesa (17.0.1)、mesa-private-llvm (3.9.1)、xcb-proto (1.12)、xkeyboard-config (2.20)、xorg-x11-proto-devel (7.7)。(BZ#1401667, BZ#1401668, BZ#1401669, BZ#1401670, BZ#1401671, BZ#1401672, BZ#1401673, BZ#1401675, BZ# 1401676, BZ#1401677, BZ#1401678, BZ#1401679, BZ#1401680, BZ#1401681, BZ# 1401682, BZ#1401683, BZ#1401685, BZ#1401690, BZ#1401752, BZ#1401753, BZ# 1401754, BZ#1402560, BZ#1410477, BZ#1411390, BZ#1411392, BZ#1411393, BZ# 1411452, BZ#1420224) 安全补丁： * 在 libXpm 中发现整数溢出缺陷，导致基于堆的缓冲区溢出。攻击者可利用此缺陷，通过特制的 XPM 文件导致使用 libXpm 的应用程序崩溃。 (CVE-2016-10164) * 已发现 libXdmcp 使用弱熵生成会话密钥。在使用 xdmcp 的多用户系统上，本地攻击者可利用进程列表中的信息，暴力攻击密钥，使其劫持其他用户会话。 (CVE-2017-2625) * 已发现 libICE 使用弱熵生成密钥。 本地攻击者可利用此缺陷，使用进程列表中的信息来劫持会话。(CVE-2017-2626) Red Hat 在此感谢 Eric Sesterhenn (X41 D-Sec GmbH) 报告 CVE-2017-2625 和 CVE-2017-2626。 更多变更： 如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 版本说明。

更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。X11 (Xorg) 库提供在所有 X Window 应用程序中使用的库例程。下列程序包已升级至更新的上游版本：libX11 (1.6.5)、libXaw (1.0.13)、libXdmcp (1.1.2)、libXfixes (5.0.3)、libXfont (1.5.2)、libXi (1.7.9)、libXpm (3.5.12)、libXrandr (1.5.1)、libXrender (0.9.10)、libXt (1.1.5)、libXtst (1.2.3)、libXv (1.0.11)、libXvMC (1.0.10)、libXxf86vm (1.1.4)、libdrm (2.4.74)、libepoxy (1.3.1)、libevdev (1.5.6)、libfontenc (1.1.3)、libvdpau (1.1.1)、libwacom (0.24)、libxcb (1.12)、libxkbfile (1.0.9)、mesa (17.0.1)、mesa-private-llvm (3.9.1)、xcb-proto (1.12)、xkeyboard-config (2.20)、xorg-x11-proto-devel (7.7)。(BZ#1401667, BZ#1401668, BZ#1401669, BZ#1401670, BZ#1401671, BZ#1401672, BZ#1401673, BZ#1401675, BZ# 1401676, BZ#1401677, BZ#1401678, BZ#1401679, BZ#1401680, BZ#1401681, BZ# 1401682, BZ#1401683, BZ#1401685, BZ#1401690, BZ#1401752, BZ#1401753, BZ# 1401754, BZ#1402560, BZ#1410477, BZ#1411390, BZ#1411392, BZ#1411393, BZ# 1411452, BZ#1420224) 安全修复：* 在 libXpm 中发现整数溢出缺陷，导致基于堆的缓冲区溢出。攻击者可利用此缺陷，通过特制的 XPM 文件导致使用 libXpm 的应用程序崩溃。(CVE-2016-10164) * 已发现 libXdmcp 使用弱熵生成会话密钥。在使用 xdmcp 的多用户系统上，本地攻击者可利用进程列表中的信息，暴力攻击密钥，使其劫持其他用户会话。(CVE-2017-2625) * 已发现 libICE 使用弱熵生成密钥。本地攻击者可利用此缺陷，使用进程列表中的信息来劫持会话。(CVE-2017-2626) Red Hat 在此感谢 Eric Sesterhenn (X41 D-Sec GmbH) 报告 CVE-2017-2625 和 CVE-2017-2626。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 版本说明。

Tobias Stoeckmann 在 libXpm 库中发现一个漏洞，可导致恶意攻击者通过特制的 XPM 文件执行任意代码。对于 Debian 7“Wheezy”，这些问题已在 1:3.5.10-1+deb7u1 版本中修复。建议您升级 libxpm 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Tobias Stoeckmann 发现 libXpm 库包含两个整数溢出缺陷，导致在解析文件中的 XPM 扩展时发生堆越界写入。攻击者可提供特制的 XPM 文件，由使用 libXpm 库的应用程序进行处理时，会针对该应用程序造成拒绝服务，或可能以运行该应用程序的用户的权限执行任意代码。

下列程序包已升级至更新的上游版本：libX11 (1.6.5)、libXaw (1.0.13)、libXdmcp (1.1.2)、libXfixes (5.0.3)、libXfont (1.5.2)、libXi (1.7.9)、libXpm (3.5.12)、libXrandr (1.5.1)、libXrender (0.9.10)、libXt (1.1.5)、libXtst (1.2.3)、libXv (1.0.11)、libXvMC (1.0.10)、libXxf86vm (1.1.4)、libdrm (2.4.74)、libepoxy (1.3.1)、libevdev (1.5.6)、libfontenc (1.1.3)、libvdpau (1.1.1)、libwacom (0.24)、libxcb (1.12)、libxkbfile (1.0.9)、mesa (17.0.1)、mesa-private-llvm (3.9.1)、xcb-proto (1.12)、xkeyboard-config (2.20)、xorg-x11-proto-devel (7.7)。安全修复：- 在 libXpm 中发现整数溢出缺陷，导致基于堆的缓冲区溢出。攻击者可利用此缺陷，通过特制的 XPM 文件导致使用 libXpm 的应用程序崩溃。(CVE-2016-10164) - 已发现 libXdmcp 使用弱熵生成会话密钥。在使用 xdmcp 的多用户系统上，本地攻击者可利用进程列表中的信息，暴力攻击密钥，使其劫持其他用户会话。(CVE-2017-2625) - 已发现 libICE 使用弱熵生成密钥。本地攻击者可利用此缺陷，使用进程列表中的信息来劫持会话。(CVE-2017-2626)

一项更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。X11 (Xorg) 库提供在所有 X Window 应用程序中使用的库例程。下列程序包已升级至更新的上游版本：libX11 (1.6.5)、libXaw (1.0.13)、libXdmcp (1.1.2)、libXfixes (5.0.3)、libXfont (1.5.2)、libXi (1.7.9)、libXpm (3.5.12)、libXrandr (1.5.1)、libXrender (0.9.10)、libXt (1.1.5)、libXtst (1.2.3)、libXv (1.0.11)、libXvMC (1.0.10)、libXxf86vm (1.1.4)、libdrm (2.4.74)、libepoxy (1.3.1)、libevdev (1.5.6)、libfontenc (1.1.3)、libvdpau (1.1.1)、libwacom (0.24)、libxcb (1.12)、libxkbfile (1.0.9)、mesa (17.0.1)、mesa-private-llvm (3.9.1)、xcb-proto (1.12)、xkeyboard-config (2.20)、xorg-x11-proto-devel (7.7)。(BZ#1401667, BZ#1401668, BZ#1401669, BZ#1401670, BZ#1401671, BZ#1401672, BZ#1401673, BZ#1401675, BZ# 1401676, BZ#1401677, BZ#1401678, BZ#1401679, BZ#1401680, BZ#1401681, BZ# 1401682, BZ#1401683, BZ#1401685, BZ#1401690, BZ#1401752, BZ#1401753, BZ# 1401754, BZ#1402560, BZ#1410477, BZ#1411390, BZ#1411392, BZ#1411393, BZ# 1411452, BZ#1420224) 安全修复：* 在 libXpm 中发现整数溢出缺陷，导致基于堆的缓冲区溢出。攻击者可利用此缺陷，通过特制的 XPM 文件导致使用 libXpm 的应用程序崩溃。(CVE-2016-10164) * 已发现 libXdmcp 使用弱熵生成会话密钥。在使用 xdmcp 的多用户系统上，本地攻击者可利用进程列表中的信息，暴力攻击密钥，使其劫持其他用户会话。(CVE-2017-2625) * 已发现 libICE 使用弱熵生成密钥。本地攻击者可利用此缺陷，使用进程列表中的信息来劫持会话。(CVE-2017-2626) Red Hat 在此感谢 Eric Sesterhenn (X41 D-Sec GmbH) 报告 CVE-2017-2625 和 CVE-2017-2626。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 发行说明。

远程主机受到 GLSA-201701-72 中所述漏洞的影响（libXpm：远程任意代码执行）在 libXpm 的 src/CrDatFrI.c 文件中发现整数溢出情形。在 64 位的系统上，这会导致解析文件中的 XPM 扩展时，32 位的整数发生溢出。影响：远程攻击者可诱骗用户处理特别构建的 XPM 文件，从而导致以进程权限执行任意代码或造成拒绝服务的情况。解决方法：目前无任何已知的解决方法。

发现 libXpm 未能正确处理某些 XPM 文件。
如果用户或自动化系统受到诱骗打开特制的 XPM 文件，远程攻击者可利用此问题造成 libXpm 崩溃，从而导致拒绝服务或者可能执行任意代码。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
102340	Oracle Linux 7 : X.org / X11 / libraries (ELSA-2017-1865)	Nessus	Oracle Linux Local Security Checks	2017/8/10	2021/1/14	critical
102147	RHEL 7 : X.org X11 库 (RHSA-2017:1865)	Nessus	Red Hat Local Security Checks	2017/8/3	2019/10/24	critical
96816	Debian DLA-801-1：libxpm 安全更新	Nessus	Debian Local Security Checks	2017/1/27	2021/1/11	critical
96819	Debian DSA-3772-1：libxpm - 安全更新	Nessus	Debian Local Security Checks	2017/1/27	2021/1/11	critical
102636	Scientific Linux 安全更新：SL7.x x86_64 上的 X.org X11 库	Nessus	Scientific Linux Local Security Checks	2017/8/22	2021/1/14	critical
102740	CentOS 7：libICE / libX11 / libXaw / libXcursor / libXdmcp / libXfixes / libXfont / libXfont2 / 等 (CESA-2017:1865)	Nessus	CentOS Local Security Checks	2017/8/25	2021/1/4	critical
96858	GLSA-201701-72：libXpm：远程任意代码执行	Nessus	Gentoo Local Security Checks	2017/1/30	2021/1/11	critical
96954	Ubuntu 14.04 LTS / 16.04 LTS：libXpm 漏洞 (USN-3185-1)	Nessus	Ubuntu Local Security Checks	2017/2/2	2023/10/20	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical