Updated libtiff packages that fix multiple security issues are now available for Red Hat Enterprise Linux 4 and 5.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

The libtiff packages contain a library of functions for manipulating Tagged Image File Format (TIFF) files.

Multiple integer overflow flaws, leading to a buffer overflow, were discovered in libtiff. An attacker could use these flaws to create a specially crafted TIFF file that, when opened, would cause an application linked against libtiff to crash or, possibly, execute arbitrary code. (CVE-2010-1411)

Multiple input validation flaws were discovered in libtiff. An attacker could use these flaws to create a specially crafted TIFF file that, when opened, would cause an application linked against libtiff to crash. (CVE-2010-2481, CVE-2010-2483, CVE-2010-2595, CVE-2010-2597)

Red Hat would like to thank Apple Product Security for responsibly reporting the CVE-2010-1411 flaw, who credit Kevin Finisterre of digitalmunition.com for the discovery of the issue.

All libtiff users are advised to upgrade to these updated packages, which contain backported patches to resolve these issues. All running applications linked against libtiff must be restarted for this update to take effect.

The remote Oracle Linux 5 host has packages installed that are affected by multiple vulnerabilities as referenced in the ELSA-2010-0519 advisory.

    [3.8.2-7.el5.5]
    - Add fixes for multiple SIGSEGV problems, including CVE-2010-1411     Resolves: #602552

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Oracle Linux 5 ホストに、ELSA-2010-0519 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    [3.8.2-7.el5.5]
    - CVE-2010-1411 を含む複数の SIGSEGV 問題の修正を追加します 解決 #602552

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

特別に細工された TIFF ファイルにより、thunder および ojpeg のデコーダーでヒープベースのバッファオーバーフローが引き起こされることがあります（CVE-2011-1167、CVE-2009-5022）。

多数のファイルがあるディレクトリにより、 tiffdump ツールで整数オーバーフローが発生することがあります（CVE-2010-4665）。

これまでのすべてのパッチに加えて、特に CVE-2009-5022 に対する修正などのその他の修正を取り込んでいる、libtiff 3.9.5 に更新してください

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

以下のバグは修正済みです：

- 特別に細工された tiff ファイルにより、thunder-decoder でヒープベースのバッファオーバーフローを引き起こす恐れがあります。(CVE-2011-1167)

- 多数のファイルのあるディレクトリが tiffdump ツールで整数オーバーフローを引き起こす恐れがあります。(CVE-2010-4665)

- 特別に細工された tiff ファイルにより、thunder-decoder でヒープベースのバッファオーバーフローを引き起こす可能性があります（CVE-2011-1167）。

多数のファイルがあるディレクトリにより、 tiffdump ツールで整数オーバーフローが発生することがあります（CVE-2010-4665）。

以下のバグは修正済みです：

- 特別に細工されたファイルにより、JPEG、Fax、および Thunder デコーダーにおけるヒープベースのバッファオーバーフローが引き起こされる可能性があります。
 （CVE-2011-0191/CVE-2011-0192/CVE-2011-1167）

- 多数のファイルのあるディレクトリが tiffdump ツールで整数オーバーフローを引き起こす恐れがあります。(CVE-2010-4665)

複数のセキュリティ問題を修正する更新済みの libtiff パッケージが、 Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

libtiff パッケージには、Tagged Image File Format（TIFF）ファイルを操作するための関数のライブラリが含まれます。

バッファオーバーフローを引き起こす、複数の整数オーバーフローの欠陥が libtiff に見つかりました。攻撃者がこの欠陥を利用して特別に細工された TIFF ファイルを作成し、そのファイルが開かれたときに、libtiff にリンクされたアプリケーションをクラッシュさせたり、任意のコードを実行したりする可能性があります。（CVE-2010-1411）

libtiff に複数の入力検証の欠陥が見つかりました。攻撃者がこの欠陥を利用して特別に細工された TIFF ファイルを作成し、そのファイルが開かれたときに、libtiff にリンクされたアプリケーションをクラッシュさせる可能性があります。（CVE-2010-2481、CVE-2010-2483、CVE-2010-2595、 CVE-2010-2597）

Red Hat は、CVE-2010-1411 の欠陥を報告してくれた Apple Product Security および問題を見つけてくれた digitalmunition.com の Kevin Finisterre 氏に感謝の意を表します。

すべての libtiff ユーザーは、この更新パッケージにアップグレードすることをお勧めします。ここには、この問題を解決するバックポートされたパッチが含まれます。この更新を有効にするには、 libxslt にリンクされている全ての実行アプリケーションを再起動する必要があります。

リモートホストが GLSA-201209-02 で説明されている脆弱性の影響を受けます（libTIFF：複数の脆弱性）

libTIFF に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、libTIFF を使用するアプリケーションで、特別に細工された TIFF ファイルを開くようにユーザーを誘うことがあります。その結果、アプリケーションを実行しているユーザーの権限で任意のコードが実行されたり、サービス拒否状態が発生する可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ID	Name	Product	Family	Published	Updated	Severity
47872	RHEL 4 / 5 : libtiff (RHSA-2010:0519)	Nessus	Red Hat Local Security Checks	7/28/2010	1/14/2021	medium
68059	Oracle Linux 5 : libtiff (ELSA-2010-0519)	Nessus	Oracle Linux Local Security Checks	7/12/2013	4/29/2025	critical
68059	Oracle Linux 5libtiffELSA-2010-0519	Nessus	Oracle Linux Local Security Checks	7/12/2013	4/29/2025	critical
75621	openSUSE セキュリティ更新： libtiff-devel （openSUSE-SU-2011:0405-1）	Nessus	SuSE Local Security Checks	6/13/2014	1/14/2021	medium
53498	Fedora 14：libtiff-3.9.5-1.fc14（2011-5304）	Nessus	Fedora Local Security Checks	4/20/2011	1/11/2021	medium
53591	SuSE 10 セキュリティ更新：libtiff（ZYPP パッチ番号 7473）	Nessus	SuSE Local Security Checks	4/29/2011	1/19/2021	medium
53761	openSUSEセキュリティ更新プログラム：libtiff-devel（openSUSE-SU-2011:0409-1）	Nessus	SuSE Local Security Checks	5/5/2011	1/14/2021	medium
57221	SuSE 10 セキュリティ更新：libtiff（ZYPP パッチ番号 7474）	Nessus	SuSE Local Security Checks	12/13/2011	1/19/2021	high
47872	RHEL 4/5：libtiff（RHSA-2010:0519）	Nessus	Red Hat Local Security Checks	7/28/2010	1/14/2021	medium
62235	GLSA-201209-02：libTIFF：複数の脆弱性	Nessus	Gentoo Local Security Checks	9/24/2012	1/6/2021	high

Detections

Analytics

Plugins Search

medium

critical

critical

medium

medium

medium

medium

high

medium

high