PT-2020-15278 · Libvips+3 · Libvips+3

Yifengchen-Cc · Publicado 2020-01-26 · Atualizado 2025-01-17 · CVE-2020-20739

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do libvips anteriores à 8.8.2

Descrição

O problema está relacionado a uma variável não inicializada na função im vips2dz, localizada em /libvips/libvips/deprecated/im vips2dz.c. Isso pode causar o vazamento do caminho do servidor remoto ou do endereço da pilha.

Recomendações

Para versões anteriores à 8.8.2, atualize para a versão 8.8.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à função im vips2dz em /libvips/libvips/deprecated/im vips2dz.c até que um patch esteja disponível.

Exploit

Correção

Enumeração de Fraquezas

CWE-909

Identificadores relacionados

ALT-PU-2020-1098

ALT-PU-2020-2977

ALT-PU-2025-1396

CVE-2020-20739

DLA-2473-1

USN-6437-1

Produtos afetados

Alt Linux

Linuxmint

Ubuntu

Libvips

Referências · 20

• 🔥 https://github.com/libvips/libvips/issues/1419 · Exploit
• https://github.com/libvips/libvips/commit/2ab5aa7bf515135c2b02d42e9a72e4c98e17031a · Correção
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-20739 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2023-40032 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-6437-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-20739 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-20739 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-6437-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-27847 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2019-6976 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZULVPQQ4QDFSQCXFYBUXEM7UXJAOKLSP · Aviso do Fabricante
• https://t.me/cibsecurity/16680 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2020-20739 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2020-20739 · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-2473-1 · Aviso do Fabricante