800+ IT
News
als RSS Feed abonnieren📚 jasper bis 1.900.29 Image jpc_tsfb.c jpc_tsfb_getbands2 Pufferüberlauf
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com
Eine Schwachstelle wurde in jasper bis 1.900.29 gefunden. Sie wurde als kritisch eingestuft. Es geht hierbei um die Funktion jpc_tsfb_getbands2 der Datei jpc_tsfb.c der Komponente Image Handler. Durch das Manipulieren mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle (Stack-Based) ausgenutzt werden. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Die Schwachstelle wurde am 15.02.2017 (oss-sec) veröffentlicht. Auf openwall.com kann das Advisory eingesehen werden. Die Identifikation der Schwachstelle findet seit dem 22.11.2016 als CVE-2016-9560 statt. Der Angriff kann über das Netzwerk passieren. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht.
Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 95664 (Debian DLA-739-1 : jasper security updat) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Debian Local Security Checks zugeordnet.
Ein Upgrade auf die Version 1.900.30 vermag dieses Problem zu beheben.
Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityFocus (BID 94428) dokumentiert. Schwachstellen ähnlicher Art sind dokumentiert unter 95329, 95330, 97008 und 97009.
CVSSv3
Base Score: ≈6.3Temp Score: ≈6.0
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:X
Zuverlässigkeit: Medium
CVSSv2
Base Score: ≈6.0 (CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P)Temp Score: ≈5.2 (CVSS2#E:ND/RL:OF/RC:ND)
Zuverlässigkeit: Medium
CPE
- cpe:/a:jasper:jasper:1.900.0
- cpe:/a:jasper:jasper:1.900.1
- cpe:/a:jasper:jasper:1.900.2
- cpe:/a:jasper:jasper:1.900.3
- cpe:/a:jasper:jasper:1.900.4
- cpe:/a:jasper:jasper:1.900.5
- cpe:/a:jasper:jasper:1.900.6
- cpe:/a:jasper:jasper:1.900.7
- cpe:/a:jasper:jasper:1.900.8
- cpe:/a:jasper:jasper:1.900.9
- cpe:/a:jasper:jasper:1.900.10
- cpe:/a:jasper:jasper:1.900.11
- cpe:/a:jasper:jasper:1.900.12
- cpe:/a:jasper:jasper:1.900.13
- cpe:/a:jasper:jasper:1.900.14
- cpe:/a:jasper:jasper:1.900.15
- cpe:/a:jasper:jasper:1.900.16
- cpe:/a:jasper:jasper:1.900.17
- cpe:/a:jasper:jasper:1.900.18
- cpe:/a:jasper:jasper:1.900.19
- cpe:/a:jasper:jasper:1.900.20
- cpe:/a:jasper:jasper:1.900.21
- cpe:/a:jasper:jasper:1.900.22
- cpe:/a:jasper:jasper:1.900.23
- cpe:/a:jasper:jasper:1.900.24
- cpe:/a:jasper:jasper:1.900.25
- cpe:/a:jasper:jasper:1.900.26
- cpe:/a:jasper:jasper:1.900.27
- cpe:/a:jasper:jasper:1.900.28
- cpe:/a:jasper:jasper:1.900.29
Exploiting
Klasse: PufferüberlaufLokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)
Nessus ID: 95664
Nessus Name: Debian DLA-739-1 : jasper security updat
Nessus File: debian_DLA-739.nasl
Nessus Family: Debian Local Security Checks
Gegenmassnahmen
Empfehlung: UpgradeStatus: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: jasper 1.900.30
Timeline
22.11.2016 CVE zugewiesen15.02.2017 Advisory veröffentlicht
16.02.2017 VulDB Eintrag erstellt
16.02.2017 VulDB letzte Aktualisierung
Quellen
Advisory: openwall.comBestätigung: github.com
CVE: CVE-2016-9560 (mitre.org) (nvd.nist.org) (cvedetails.com)
SecurityFocus: 94428
Siehe auch: 95329, 95330, 97008, 97009, 97010
Eintrag
Erstellt: 16.02.2017Eintrag: 73.2% komplett
...