DSA-4405-1 openjpeg2 -- обновление безопасности

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Debian

libopenjp2-7 (any) libopenjp2-7-dbg (any) libopenjp2-7-dev (any) libopenjp2-tools (any) libopenjp3d7 (any) libopenjp3d-tools (any) libopenjpip7 (any) libopenjpip-dec-server (any) libopenjpip-server (any) libopenjpip-viewer (any)

В openjpeg2, кодеке JPEG 2000 с открытым исходным кодом, были обнаружены
многочисленные уязвимости, которые могут использоваться для вызова отказа
в обслуживании или удалённого выполнения кода.

CVE-2017-17480
    Запись за пределы выделенного буфера памяти в кодеках jp3d и jpwl могут приводить
    к отказу в обслуживании или удалённому выполнению кода при обработке специально
    сформированных файлов jp3d или jpwl.
CVE-2018-5785
    Переполнение целых чисел может приводить к отказу в обслуживании при обработке
    специально сформированного файла bmp.
CVE-2018-6616
    Избыточная итерация может приводить к отказу в обслуживании при обработке
    специально сформированного файла bmp.
CVE-2018-14423
    Деление на ноль может приводить к отказу в обслуживании при обработке
    специально сформированного файла j2k.
CVE-2018-18088
    Разыменование null-указателя может приводить к отказу в обслуживании при обработке
    специально сформированного файла bmp.

В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 2.1.2-1.1+deb9u3.
Рекомендуется обновить пакеты openjpeg2.
С подробным статусом поддержки безопасности openjpeg2 можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу
https://security-tracker.debian.org/tracker/openjpeg2">https://security-tracker.debian.org/tracker/openjpeg2">https://security-tracker.debian.org/tracker/openjpeg2

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
libopenjp2-7 - 2.1.2-1.1+deb9u3
libopenjp2-7-dbg - 2.1.2-1.1+deb9u3
libopenjp2-7-dev - 2.1.2-1.1+deb9u3
libopenjp2-tools - 2.1.2-1.1+deb9u3
libopenjp3d-tools - 2.1.2-1.1+deb9u3
libopenjp3d7 - 2.1.2-1.1+deb9u3
libopenjpip-dec-server - 2.1.2-1.1+deb9u3
libopenjpip-server - 2.1.2-1.1+deb9u3
libopenjpip-viewer - 2.1.2-1.1+deb9u3
libopenjpip7 - 2.1.2-1.1+deb9u3

http://www.debian.org/security/dsa-4405/

Источник: CVE
Наименование: CVE-2018-14423
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-14423

Источник: CVE
Наименование: CVE-2017-17480
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-17480

Источник: CVE
Наименование: CVE-2018-18088
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-18088

Источник: CVE
Наименование: CVE-2018-5785
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-5785

Источник: CVE
Наименование: CVE-2018-6616
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-6616