このバージョン 1.900.14 への jasperの更新プログラムでは、いくつかの問題が修正されます。

これらのセキュリティの問題が修正されました：

  - CVE-2008-3522：JasPerのlibjasper/base/jas_stream.cにあるjas_stream_printf関数でのバッファオーバーフローにより、コンテキスト依存の攻撃者が、mif_hdr_put関数およびvsprintfの使用に関連するベクトルを通じて、未知の影響を与えることができる可能性があります（bsc#392410）

  - CVE-2015-5203：JasPer JPEG-2000実装における二重解放の破損（bsc#941919）。

  - CVE-2015-5221：Jasper JPEG-200におけるのuse-after-free（および二重解放）（bsc#942553）。

  - CVE-2016-1577：JasPerのjas_iccattrval_destroy関数における二十解放の脆弱性により、リモート攻撃者がサービス拒否(クラッシュ）を引き起こしたり、JPEG 2000画像ファイルに含まれる細工されたICCカラープロファイルを使用して任意のコードを実行できる可能性があります。これはCVE-2014-8137とは異なる脆弱性です（bsc#968373）。

  - CVE-2016-2116：JasPerのjas_iccprof_createfrombuf関数でのメモリリークにより、リモート攻撃者が function in  allowed remote attackers to cause a denial of service (memory consumption) via a crafted ICC color profile in a JPEG 2000 image file (bsc#968373)

  - CVE-2016-8690：細工されたBMP画像によって引き起こされるbmp_getdataでのNULLポインターデリファレンス（bsc#1005084）。

  - CVE-2016-8691、CVE-2016-8692：SIZマーカーセグメントのXRsizおよびYRsizフィールドでの範囲チェックの欠落（bsc#1005090）。

  - CVE-2016-8693：メモリストリームインターフェイスにより、ゼロのバッファサイズを使用できる可能性がありました。☆ サイズがゼロのバッファのケースが正しく処理されませんでした。これにより、二重解放が発生する可能性があります（bsc#1005242）。

  - CVE-2016-8880：jpc_dec_cp_setfromcox()でのヒープオーバーフロー（bsc#1006591）。

  - CVE-2016-8881：jpc_getuint16()でのヒープオーバーフロー（bsc#1006593）。

  - CVE-2016-8882：jpc_pi_destroyでのNULLポインターアクセス（bsc#1006597）。

  - CVE-2016-8883：jpc_dec_tiledecode()で引き起こされるアサート（bsc#1006598）。☆

  - CVE-2016-8886：jas_malloc（jas_malloc.c）でのメモリ割り当ての失敗（bsc#1006599）。

    その他の変更の説明については、変更ログを参照してください。

在處理 JPEG-2000 影像的 JasPer 程式庫中發現多個弱點，如果處理格式錯誤的影像，可能導致拒絕服務或執行任意程式碼。

來自 Red Hat 安全公告 2017:1208： 現已提供適用於 Red Hat Enterprise Linux 6 與 Red Hat Enterprise Linux 7 的 jasper 更新。 Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 JasPer 是 JPEG 2000 影像壓縮標準的第 1 部分之實作。 安全性修正： 在 JasPer 解碼 JPEG 2000 影像檔的方式中發現多個缺陷。特製檔案可造成使用 JasPer 的應用程式損毀，或可能執行任意程式碼。(CVE-2016-8654, CVE-2016-9560, CVE-2016-10249, CVE-2015-5203, CVE-2015-5221, CVE-2016-1577, CVE-2016-8690, CVE-2016-8693, CVE-2016-8884, CVE-2016-8885, CVE-2016-9262, CVE-2016-9591) 在 JasPer 解碼 JPEG 2000 影像檔的方式中發現多個缺陷。特製檔案可造成使用 JasPer 的應用程式損毀。(CVE-2016-1867, CVE-2016-2089, CVE-2016-2116, CVE-2016-8691, CVE-2016-8692, CVE-2016-8883, CVE-2016-9387, CVE-2016-9388, CVE-2016-9389, CVE-2016-9390, CVE-2016-9391, CVE-2016-9392, CVE-2016-9393, CVE-2016-9394, CVE-2016-9583, CVE-2016-9600, CVE-2016-10248, CVE-2016-10251) Red Hat 在此感謝 Liu Bingchang (IIE) 報告 CVE-2016-8654、CVE-2016-9583、CVE-2016-9591 和 CVE-2016-9600； 感謝 Gustavo Grieco 報告 CVE-2015-5203；以及 Josselin Feist 報告 CVE-2015-5221。

遠端 Redhat Enterprise Linux 6 / 7 主機上安裝的套件受到 RHSA-2017:1208 公告中提及的多個弱點影響。

    JasPer 是 JPEG 2000 影像壓縮標準的第 1 部分之實作。

    安全性修正：

    在 JasPer 解碼 JPEG 2000 影像檔的方式中發現多個缺陷。特製檔案可造成使用 JasPer 的應用程式損毀，或可能執行任意程式碼。(CVE-2016-8654、CVE-2016-9560、CVE-2016-10249、CVE-2015-5203、CVE-2015-5221、CVE-2016-1577、CVE-2016-8690、CVE-2016-8693、CVE-2016-8884、CVE-2016-8885、CVE-2016-9262、CVE-2016-9591)

    在 JasPer 解碼 JPEG 2000 影像檔的方式中發現多個缺陷。特製檔案可造成使用 JasPer 的應用程式損毀。(CVE-2016-1867、CVE-2016-2089、CVE-2016-2116、CVE-2016-8691、CVE-2016-8692、CVE-2016-8883、CVE-2016-9387、CVE-2016-9388、CVE-2016-9389、CVE-2016-9390、CVE-2016-9391、CVE-2016-9392、CVE-2016-9393、CVE-2016-9394、CVE-2016-9583、CVE-2016-9600、CVE-2016-10248、CVE-2016-10251)

    Red Hat 感謝 Liu Bingchang (IIE) 報告 CVE-2016-8654、CVE-2016-9583、CVE-2016-9591 和 CVE-2016-9600；Gustavo Grieco 報告 CVE-2015-5203；和 Josselin Feist 報告 CVE-2015-5221。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 6 與 Red Hat Enterprise Linux 7 的 jasper 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。JasPer 是 JPEG 2000 影像壓縮標準的第 1 部分之實作。安全性修正：在 JasPer 解碼 JPEG 2000 影像檔的方式中發現多個缺陷。特製檔案可造成使用 JasPer 的應用程式損毀，或可能執行任意程式碼。(CVE-2016-8654、CVE-2016-9560、CVE-2016-10249、CVE-2015-5203、CVE-2015-5221、CVE-2016-1577、CVE-2016-8690、CVE-2016-8693、CVE-2016-8884、CVE-2016-8885、CVE-2016-9262、CVE-2016-9591) 在 JasPer 解碼 JPEG 2000 影像檔的方式中發現多個缺陷。特製檔案可造成使用 JasPer 的應用程式損毀。(CVE-2016-1867、CVE-2016-2089、CVE-2016-2116、CVE-2016-8691、CVE-2016-8692、CVE-2016-8883、CVE-2016-9387、CVE-2016-9388、CVE-2016-9389、CVE-2016-9390、CVE-2016-9391、CVE-2016-9392、CVE-2016-9393、CVE-2016-9394、CVE-2016-9583、CVE-2016-9600、CVE-2016-10248、CVE-2016-10251) Red Hat 要感謝 Liu Bingchang (IIE) 報告 CVE-2016-8654、CVE-2016-9583、CVE-2016-9591 和 CVE-2016-9600；感謝 Gustavo Grieco 報告 CVE-2015-5203；並感謝 Josselin Feist 報告 CVE-2015-5221。

據發現，JasPer 並未正確處理某些格式錯誤的 JPEG-2000 影像檔。如果使用 JasPer 的使用者或自動化系統受到誘騙而開啟特製的影像，則攻擊者可利用此弱點來引發拒絕服務，或可能以程式叫用使用者的權限執行程式碼。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

According to the versions of the jasper package installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - Multiple flaws were found in the way JasPer decoded     JPEG 2000 image files. A specially crafted file could     cause an application using JasPer to crash or,     possibly, execute arbitrary code. (CVE-2016-8654,     CVE-2016-9560, CVE-2016-10249, CVE-2015-5203,     CVE-2015-5221, CVE-2016-1577, CVE-2016-8690,     CVE-2016-8693, CVE-2016-8884, CVE-2016-8885,     CVE-2016-9262, CVE-2016-9591)

  - Multiple flaws were found in the way JasPer decoded     JPEG 2000 image files. A specially crafted file could     cause an application using JasPer to crash.
    (CVE-2016-1867, CVE-2016-2089, CVE-2016-2116,     CVE-2016-8691, CVE-2016-8692, CVE-2016-8883,     CVE-2016-9387, CVE-2016-9388, CVE-2016-9389,     CVE-2016-9390, CVE-2016-9391, CVE-2016-9392,     CVE-2016-9393, CVE-2016-9394, CVE-2016-9583,     CVE-2016-9600, CVE-2016-10248, CVE-2016-10251)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Fedora 24 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2016-e0f0d48142 advisory.

    This update contains security fix for CVE-2016-8883, CVE-2016-8882, CVE-2016-8881, CVE-2016-8880,     CVE-2016-8884, CVE-2016-8885, CVE-2016-8887, CVE-2016-8886.

    ----

    New version of jasper is available (jasper-1.900.13).
    Security fix for CVE-2016-8690, CVE-2016-8691, CVE-2016-8692, CVE-2016-8693.

    ----

    New version of jasper is available (1.900.3)

    ----

    Security fix for CVE-2016-2089

    ----

    New version of jasper is available.



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Security Fix(es) :

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash or, possibly, execute arbitrary code. (CVE-2016-8654, CVE-2016-9560, CVE-2016-10249, CVE-2015-5203, CVE-2015-5221, CVE-2016-1577, CVE-2016-8690, CVE-2016-8693, CVE-2016-8884, CVE-2016-8885, CVE-2016-9262, CVE-2016-9591)

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash. (CVE-2016-1867, CVE-2016-2089, CVE-2016-2116, CVE-2016-8691, CVE-2016-8692, CVE-2016-8883, CVE-2016-9387, CVE-2016-9388, CVE-2016-9389, CVE-2016-9390, CVE-2016-9391, CVE-2016-9392, CVE-2016-9393, CVE-2016-9394, CVE-2016-9583, CVE-2016-9600, CVE-2016-10248, CVE-2016-10251)

An update for jasper is now available for Red Hat Enterprise Linux 6 and Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

JasPer is an implementation of Part 1 of the JPEG 2000 image compression standard.

Security Fix(es) :

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash or, possibly, execute arbitrary code. (CVE-2016-8654, CVE-2016-9560, CVE-2016-10249, CVE-2015-5203, CVE-2015-5221, CVE-2016-1577, CVE-2016-8690, CVE-2016-8693, CVE-2016-8884, CVE-2016-8885, CVE-2016-9262, CVE-2016-9591)

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash. (CVE-2016-1867, CVE-2016-2089, CVE-2016-2116, CVE-2016-8691, CVE-2016-8692, CVE-2016-8883, CVE-2016-9387, CVE-2016-9388, CVE-2016-9389, CVE-2016-9390, CVE-2016-9391, CVE-2016-9392, CVE-2016-9393, CVE-2016-9394, CVE-2016-9583, CVE-2016-9600, CVE-2016-10248, CVE-2016-10251)

Red Hat would like to thank Liu Bingchang (IIE) for reporting CVE-2016-8654, CVE-2016-9583, CVE-2016-9591, and CVE-2016-9600;
Gustavo Grieco for reporting CVE-2015-5203; and Josselin Feist for reporting CVE-2015-5221.

Note that Tenable Network Security has attempted to extract the preceding description block directly from the corresponding Red Hat security advisory. Virtuozzo provides no description for VZLSA advisories. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Fedora 23 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2016-6c789ba91d advisory.

    This update contains security fix for CVE-2016-8883, CVE-2016-8882, CVE-2016-8881, CVE-2016-8880,     CVE-2016-8884, CVE-2016-8885, CVE-2016-8887, CVE-2016-8886.

    ----

    New version of jasper is available (jasper-1.900.13).
    Security fix for CVE-2016-8690, CVE-2016-8691, CVE-2016-8692, CVE-2016-8693.

    ----

    New version of jasper is available (1.900.3)

    ----

    Security fix for CVE-2016-2089

    ----

    New version of jasper is available.


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

This update for jasper to version 1.900.14 fixes several issues. These security issues were fixed :

  - CVE-2016-8887: NULL pointer dereference in     jp2_colr_destroy (jp2_cod.c) (bsc#1006836)

  - CVE-2016-8886: memory allocation failure in jas_malloc     (jas_malloc.c) (bsc#1006599)

  - CVE-2016-8884,CVE-2016-8885: two NULL pointer     dereferences in bmp_getdata (incomplete fix for     CVE-2016-8690) (bsc#1007009)

  - CVE-2016-8883: assert in jpc_dec_tiledecode()     (bsc#1006598)

  - CVE-2016-8882: segfault / NULL pointer access in     jpc_pi_destroy (bsc#1006597)

  - CVE-2016-8881: Heap overflow in jpc_getuint16()     (bsc#1006593)

  - CVE-2016-8880: Heap overflow in jpc_dec_cp_setfromcox()     (bsc#1006591)

  - CVE-2016-8693 Double free vulnerability in mem_close     (bsc#1005242)

  - CVE-2016-8691, CVE-2016-8692: Divide by zero in     jpc_dec_process_siz (bsc#1005090)

  - CVE-2016-8690: NULL pointer dereference in bmp_getdata     triggered by crafted BMP image (bsc#1005084)

  - CVE-2016-2116: Memory leak in the     jas_iccprof_createfrombuf function in JasPer allowed     remote attackers to cause a denial of service (memory     consumption) via a crafted ICC color profile in a JPEG     2000 image file (bsc#968373)

  - CVE-2016-2089: invalid read in the JasPer's     jas_matrix_clip() function (bsc#963983)

  - CVE-2016-1867: Out-of-bounds Read in the JasPer's     jpc_pi_nextcprl() function (bsc#961886)

  - CVE-2015-5221: Use-after-free (and double-free) in     Jasper JPEG-200 (bsc#942553).

  - CVE-2015-5203: Double free corruption in JasPer     JPEG-2000 implementation (bsc#941919)

  - CVE-2008-3522: Buffer overflow in the jas_stream_printf     function in libjasper/base/jas_stream.c in JasPer might     have allowed context-dependent attackers to have an     unknown impact via vectors related to the mif_hdr_put     function and use of vsprintf (bsc#392410)

  - jasper: NULL pointer dereference in jp2_colr_destroy     (jp2_cod.c) (incomplete fix for CVE-2016-8887)     (bsc#1006839) For additional change description please     have a look at the changelog.

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	Name	Product	Family	Published	Updated	Severity
94601	openSUSEセキュリティ更新プログラム：jasper（openSUSE-2016-1270）	Nessus	SuSE Local Security Checks	11/7/2016	1/19/2021	high
97090	Debian DSA-3785-1：jasper - 安全性更新	Nessus	Debian Local Security Checks	2/10/2017	1/11/2021	high
100089	Oracle Linux 6 / 7：jasper (ELSA-2017-1208)	Nessus	Oracle Linux Local Security Checks	5/10/2017	11/1/2024	high
100093	RHEL 6 / 7：jasper (RHSA-2017:1208)	Nessus	Red Hat Local Security Checks	5/10/2017	3/20/2025	high
100174	CentOS 6 / 7：jasper (CESA-2017:1208)	Nessus	CentOS Local Security Checks	5/16/2017	1/4/2021	high
100294	Ubuntu 14.04 LTS / 16.04 LTS：JasPer 弱點 (USN-3295-1)	Nessus	Ubuntu Local Security Checks	5/19/2017	8/27/2024	high
100812	EulerOS 2.0 SP2 : jasper (EulerOS-SA-2017-1095)	Nessus	Huawei Local Security Checks	6/16/2017	1/6/2021	high
94662	Fedora 24 : jasper (2016-e0f0d48142)	Nessus	Fedora Local Security Checks	11/10/2016	8/29/2025	high
100120	Scientific Linux Security Update : jasper on SL6.x, SL7.x i386/x86_64 (20170509)	Nessus	Scientific Linux Local Security Checks	5/11/2017	1/14/2021	high
101464	Virtuozzo 6 : jasper / jasper-devel / jasper-libs / jasper-utils (VZLSA-2017-1208)	Nessus	Virtuozzo Local Security Checks	7/13/2017	1/4/2021	high
94689	Fedora 23 : jasper (2016-6c789ba91d)	Nessus	Fedora Local Security Checks	11/11/2016	8/29/2025	high
94728	SUSE SLED12 / SLES12 Security Update : jasper (SUSE-SU-2016:2775-1)	Nessus	SuSE Local Security Checks	11/11/2016	1/6/2021	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high

high