PT-2020-3024 · Ijg+1 · Libjpeg+1

Dongdong She + 1 · Publicado 2020-06-15 · Atualizado 2024-07-16 · CVE-2020-14152

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

IJG JPEG (também conhecido como libjpeg) versões anteriores à 9d

Descrição

O problema está relacionado à função jpeg mem available() no arquivo jmemnobs.c do diretório djpeg, que não respeita a configuração max memory to use, podendo causar consumo excessivo de memória. Isso poderia permitir que um invasor remoto divulgasse informações protegidas ou causasse uma negação de serviço.

Recomendações

Para versões anteriores à 9d, atualize para a versão 9d ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso da função jpeg mem available() em djpeg para minimizar o risco de exploração.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

AZL-45315

BDU:2020-03268

CVE-2020-14152

DLA-2302-1

GHSA-G4M4-9Q4C-MFW6

USN-5336-1

USN-5497-1

USN-5497-2

USN-5553-1

Produtos afetados

Ubuntu

Libjpeg

Referências · 41

• https://github.com/OSGeo/gdal/commit/075480a3cba13c9dd2ab4e39e92d6147a6c98eca · Nota
• https://github.com/libjpeg-turbo/libjpeg-turbo/commit/da2a27ef056a0179cbd80f9146e58b89403d9933 · Nota
• https://github.com/libjpeg-turbo/libjpeg-turbo/issues/500 · Nota
• https://github.com/Toblerity/Fiona/security/advisories/GHSA-g4m4-9q4c-mfw6 · Nota
• https://github.com/Toblerity/Fiona/commit/07708211726e276e22dedb9cd567b4f6a7b8c809 · Nota
• https://github.com/Toblerity/Fiona · Nota
• https://ubuntu.com/security/CVE-2018-11212 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-14152 · Nota de Segurança
• https://ubuntu.com/security/notices/USN-5336-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2018-11813 · Aviso do Fabricante
• https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-17541 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-14152 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2016-3616 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-5553-1 · Aviso do Fabricante