AXSA:2019-4124:02

リリース日: 
2019/08/20 Tuesday - 02:00
題名: 
libjpeg-turbo-1.2.90-8.el7
影響のあるチャネル: 
Asianux Server 7 for x86_64
Severity: 
Moderate
Description: 

以下項目について対処しました。

[Security Fix]
- libjpeg の cjpeg ユーティリティーには、巧妙に細工されたファイルを介して、
リモートの攻撃者が、サービス拒否(NULLポインタでリファレンスとアプリケー
ションクラッシュ)を引き起こす脆弱性があります。(CVE-2016-3616)

- libjpeg 9a の jmemmgr.c の alloc_sarray 関数には、巧妙に細工された
ファイルを介して、リモートの攻撃者が、サービス拒否(ゼロ除算エラー)を引き
起こす脆弱性があります。(CVE-2018-11212)

- libjpeg 9a の rdppm.c の get_text_gray_row 関数には、巧妙に細工された
ファイルを介して、リモートの攻撃者が、サービス拒否(セグメンテーション
フォールト)を引き起こす脆弱性があります。(CVE-2018-11213)

- libjpeg 9a の rdppm.c の get_text_rgb_row には、巧妙に細工されたファイルを
介して、リモートの攻撃者が、サービス拒否(セグメンテーションフォールト)を
引き起こす脆弱性があります。(CVE-2018-11214)

- libjpeg 9c の rdtarga.c の read_pixel には、ファイルの終了(EOF)を扱い損
ねるため、巨大なループに陥る問題があります。(CVE-2018-11813)

- libjpeg-turbo の rdbmp.c の get_8bit_row には、パレットエントリの数を
超えたカラーインデックスを含む巧妙に細工された 8 ビット BMP を介して、
攻撃者が、サービス拒否(ヒーブベースバッファオーバーリードとアプリケーション
クラッシュ)を引き起こす脆弱性があります。(CVE-2018-14498)

一部CVEの翻訳文はJVNからの引用になります。
http://jvndb.jvn.jp/

解決策: 

パッケージをアップデートしてください。

追加情報: 

N/A

ダウンロード: 

SRPMS
  1. libjpeg-turbo-1.2.90-8.el7.src.rpm
    MD5: ae2b37ea1a9ed69c7c04ff38ac9267c2
    SHA-256: 2b17552de1c19f77f0d3f1616ed38e21bb8f4974af87df7c721d54ac3621723e
    Size: 1.30 MB

Asianux Server 7 for x86_64
  1. libjpeg-turbo-1.2.90-8.el7.x86_64.rpm
    MD5: d2e4199a6bed0f7fde54c6369555e10b
    SHA-256: d55e7b97ab76ab13713c169a7715d2210de1568096a9b07d85f3b07fe354dd47
    Size: 133.62 kB
  2. libjpeg-turbo-devel-1.2.90-8.el7.x86_64.rpm
    MD5: 4e48bb08b595a0f2e7dab771379d4704
    SHA-256: 5aee15b51baa8d320edabbe35d4ae51dab3a0781e0442e514a48ea398d4aa16e
    Size: 98.23 kB
  3. libjpeg-turbo-1.2.90-8.el7.i686.rpm
    MD5: 2415c13a2b887cdc67a081d6072eeb1a
    SHA-256: a10b32bef9c86ce775c2467164f49ae19f79c126e41e5feea68176eab11bd218
    Size: 137.13 kB
  4. libjpeg-turbo-devel-1.2.90-8.el7.i686.rpm
    MD5: 9717f421df9041ee9cc47a1594482f9d
    SHA-256: 8420b6806d29b054e015e9bef8d99bf129b951c83dc3450409b706f2709d3f1e
    Size: 98.27 kB
Copyright© 2007-2015 Asianux. All rights reserved.