PT-2022-6887 · Libtiff+7 · Libtiff+7

Ccpatcher + 1 · Publicado 2022-10-21 · Atualizado 2025-06-19 · CVE-2022-3598

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

LibTIFF versão 4.4.0

Descrição

O problema está relacionado a uma gravação fora dos limites na função extractContigSamplesShifted24bits, permitindo que invasores provoquem uma negação de serviço por meio de um arquivo TIFF malicioso. Isso pode ser explorado por um invasor remoto para interromper o serviço.

Recomendações

Para a versão 4.4.0 do LibTIFF, os usuários que compilam o libtiff a partir dos códigos-fonte podem aplicar a correção disponível no commit cfbb883b. Como solução temporária, considere desativar a função extractContigSamplesShifted24bits em tools/tiffcrop.c até que um patch esteja disponível.

Exploit

Correção

DoS

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

ALSA-2023:2340

ALT-PU-2022-3360

ALT-PU-2022-3428

ALT-PU-2025-7185

ALT-PU-2025-7532

AZL-11285

BDU:2023-05410

CVE-2022-3598

DLA-3278-1

DSA-5333-1

MGASA-2022-0410

OESA-2022-2020

OPENSUSE-SU-2022_4411-1

OPENSUSE-SU-2024:12510-1

RHSA-2023:2340

RHSA-2023_2340

ROSA-SA-2025-2627

SUSE-SU-2022:4411-1

SUSE-SU-2023:0060-1

USN-5705-1

USN-5714-1

Produtos afetados

Alt Linux

Almalinux

Astra Linux

Libtiff

Linuxmint

Red Hat

Suse

Ubuntu

Referências · 95

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/3xxx/CVE-2022-3598.json · Exploit
• 🔥 https://github.com/xiaoqx/pocs/tree/master/libtiff · Exploit
• 🔥 https://gitlab.com/libtiff/libtiff/-/issues/435 · Exploit
• 🔥 https://github.com/halfbitteam/POCs/tree/master/libtiff-4.08_tiff2ps_heap_overflow · Exploit
• https://bugzilla.redhat.com/2142734 · Nota
• https://access.redhat.com/security/cve/CVE-2022-3599 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-3597 · Nota de Segurança
• https://ubuntu.com/security/CVE-2022-3597 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-3627 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2023-05410 · Nota de Segurança
• https://ubuntu.com/security/CVE-2022-2953 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-3598 · Nota de Segurança
• https://ubuntu.com/security/notices/USN-5705-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-2868 · Aviso do Fabricante
• https://suse.com/support/update/announcement/2022/suse-su-20224411-1 · Nota