Luka w bibliotece libjpeg-turbo

В libjpeg-turbo, biblioteka do kodowania i dekodowania obrazów JPEG, zidentyfikowane słaby punkt (CVE-2019-2201), co prowadzi do przepełnienia liczb całkowitych i późniejszego uszkodzenia zawartości sterty podczas przetwarzania plików JPEG w określony sposób. Potencjalnie luka nie wyklucza możliwości stworzenia exploita organizującego wykonanie kodu w systemie (atak wymaga przetworzenia bardzo dużego obrazu o rozdzielczości 26755 x 26755).

Problem bez niepotrzebnej reklamy naprawiony w wersji 2.0.3, ale najwyraźniej wyeliminowany nie całkiem i pozostają dodatkowe wektory ataku. W dystrybucjach problem pozostaje nienaprawiony (Debian, SUSE/openSUSE, RHEL, Fedora, Ubuntu).

Źródło: opennet.ru

Dodaj komentarz