Уязвимость в JasPer

Высокая (6.8)

(AV:N/AC:M/Au:N/C:P/I:P/A:P)

Debian

libjasper1 (any) libjasper-dev (any) libjasper-runtime (any)

Уязвимости существуют в JasPer (библиотеке для работы с файлами в формате JPEG 2000).

CVE-2016-1577
Двойное освобождение в функции jas_iccattrval_destroy позволяет злоумышленникам, действующим удаленно, вызвать отказ в обслуживании (аварийное завершение работы приложения) или выполнить произвольный код с привилегиями пользователя, запустившего приложение.
CVE-2016-2089
Разыменование нулевого указателя в функции jas_matrix_clip позволяет злоумышленникам, действующим удаленно, вызвать отказ в обслуживании (аварийное завершение работы приложения).
CVE-2016-2116
Уязвимость в функции jas_iccprof_createfrombuf позволяет злоумышленникам, действующим удаленно, вызвать отказ в обслуживании (чрезмерное потребление памяти).

Для предыдущего стабильного дистрибутива (wheezy) уязвимости устранены в версии 1.900.1-13+deb7u4.
Для стабильного дистрибутива (jessie) уязвимости устранены в версии 1.900.1-debian1-2.4+deb8u1.
Рекомендуется обновить пакеты jasper.

Для устранения уязвимости необходимо установить следующие версии пакетов, соответствующие используемой архитектуре:
Debian GNU/Linux 8:
для всех архитектур:
jasper - 1.900.1-debian1-2.4+deb8u1
Debian GNU/Linux 7:
для всех архитектур:
jasper - 1.900.1-13+deb7u4

http://www.debian.org/security/dsa-3508/

Источник: CVE
Наименование: CVE-2016-2116
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2116

Источник: CVE
Наименование: CVE-2016-1577
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-1577

Источник: CVE
Наименование: CVE-2016-2089
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2089