已在广泛用于处理 JPEG 文件的库 libjpeg-turbo 中修复多个漏洞。

CVE-2018-1152

在 TJBench 中处理构建的 BMP 图像时出现除零造成的拒绝服务漏洞。

CVE-2018-14498

通过构建的 8 位 BMP 造成拒绝服务（基于堆的缓冲区过度读取和应用程序崩溃），其中一个或多个颜色索引超过调色板条目的数量范围。

CVE-2020-13790

通过格式错误的 PPM 输入文件造成基于堆的缓冲区过度读取。

CVE-2020-14152

jpeg_mem_available() 未遵从 max_memory_to_use setting 设置，可能造成内存消耗过量。

对于 Debian 9 stretch，已在版本 1:1.5.1-2+deb9u1 中修复这些问题。

建议您升级 libjpeg-turbo 程序包。

如需了解 libjpeg-turbo 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libjpeg-turbo

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

根据安装的 libjpeg-turbo 程序包版本，远程主机上的 EulerOS Virtualization for ARM 64 安装会受到下列漏洞影响：- libjpeg-turbo 1.5.90 容易受到当处理构建的 BMP 图像时，由除零错误造成的拒绝服务漏洞的影响。(CVE-2018-1152) 请注意，Tenable Network Security 已直接从 EulerOS 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Debian 的默认 JPEG 实现 libjpeg-turbo 中解决了多个漏洞。CVE-2016-3616 libjpeg 中的 cjpeg 实用工具可让远程攻击者通过特制文件造成拒绝服务（空指针取消引用和应用崩溃）或执行任意代码。此问题可通过修复 CVE-2018-11213 和 CVE-2018-11214 的同一个补丁来修复。CVE-2018-1152 libjpeg-turbo 中发现，在处理特制的 BMP 图像时，容易受到除零造成的拒绝服务漏洞。此问题已通过边界检查解决。CVE-2018-11212 jmemmgr.c 中的 alloc_sarray 函数使远程攻击者可以通过特制的文件造成拒绝服务（除零错误）。此问题已通过在读取 targa 文件时检查图像大小解决，并且当图像宽度或高度为 0 时抛出错误来解决。CVE-2018-11213 CVE-2018-11214 rdppm.c 中的 get_text_gray_row 和 get_text_rgb_row 函数使远程攻击者可以通过特制的文件造成拒绝服务（段错误）。两个问题已通过检查 PPM 文本文件中的整数值范围，并添加检查确保数值在指定的范围内来解决 对于 Debian 8“Jessie”，这些问题已在 1:1.3.1-12+deb8u1 版本中修复。建议您升级 libjpeg-turbo 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

针对 libjpeg-turbo 的这项更新修复下列问题：已解决下列安全漏洞：- CVE-2018-14498：修复了 get_8bit_row 函数中的一一个基于堆的缓冲区过度读取问题，此问题可能允许攻击者造成拒绝服务 (bsc#1128712)。- CVE-2018-11813：修复了 rdtarga.c 内 read_pixel 中文件尾处理不正确问题，此问题可允许远程攻击者通过特制的 JPG 文件，产生大循环，进而造成拒绝服务 (bsc#1096209) - CVE-2018-1152：修复了 start_input_bmp() rdbmp.c 中，在处理特制的 BMP 图像时，因除零而造成的拒绝服务 (bsc#1098155) 此更新是从 SUSE:SLE-15:Update 更新项目导入。

发现 libjpeg-turbo 未能正确处理某些畸形 JPEG 图像。如果用户或自动化系统受到诱骗打开特制的 JPEG 图像，远程攻击者可造成 libjpeg-turbo 崩溃，从而导致拒绝服务或可能执行任意代码。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
139245	Debian DLA-2302-1：libjpeg-turbo 安全更新	Nessus	Debian Local Security Checks	2020/8/3	2024/2/27	high
131483	EulerOS Virtualization for ARM 64 3.0.3.0：libjpeg-turbo (EulerOS-SA-2019-2318)	Nessus	Huawei Local Security Checks	2019/12/3	2024/4/9	medium
121315	Debian DLA-1638-1：libjpeg-turbo 安全更新	Nessus	Debian Local Security Checks	2019/1/23	2021/1/11	high
123665	openSUSE 安全更新：libjpeg-turbo (openSUSE-2019-1118)	Nessus	SuSE Local Security Checks	2019/4/3	2021/1/19	high
110973	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：libjpeg-turbo 漏洞 (USN-3706-1)	Nessus	Ubuntu Local Security Checks	2018/7/10	2023/10/20	high

检测

插件搜索

high

medium

high

high

high