The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3548 advisory.

    - -------------------------------------------------------------------------     Debian LTS Advisory DLA-3548-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                    Thorsten Alteholz     August 29, 2023                               https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package        : qpdf     Version        : 8.4.0-2+deb10u1     CVE ID         : CVE-2018-18020 CVE-2021-25786 CVE-2021-36978


    Several issues have been found in qpdf, a package with tools for     transforming and inspecting PDF files.
    Crafted files may enable remote attackers to execute arbitrary code or     create recursive calls for a long time, which causes a denial of service.
    Further a heap-based buffer overflow might occur when a certain downstream     write fails.



    For Debian 10 buster, these problems have been fixed in version     8.4.0-2+deb10u1.

    We recommend that you upgrade your qpdf packages.

    For the detailed security status of qpdf please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/qpdf

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Debian 10 ホストには、dla-3548 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - QPDF 8.2.1 における、libqpdf/QPDFWriter.ccの、QPDFWriter: : unparseObject および QPDFWriter: : unparseChild は再帰呼び出しを長期間行っているため、リモートの攻撃者が、細工された PDF ファイルを介してサービス拒否を引き起こす可能性があります。(CVE-2018-18020)

  - QPDF バージョン 10.0.4 に問題が検出され、リモートの攻撃者が libqpdf の Pl_ASCII85Decoder: : write パラメータに細工された .pdf ファイルを介して任意のコードを実行する可能性があります。(CVE-2021-25786)

  - 9.x 〜 9.1.1 および 10.x 〜 10.0.4 の QPDF には、特定のダウンストリームの書き込みが失敗した場合、Pl_ASCII85Decoder: : write (Pl_AES_PDF:  : flush および Pl_AES_PDF:  : finish から呼び出された) にヒープベースのバッファオーバーフローが発生します。(CVE-2021-36978)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3548 公告中提及的多個弱點影響。

  - 在 QPDF 8.2.1 版的 libqpdf/QPDFWriter.cc 中，QPDFWriter: : unparseObject 和 QPDFWriter: : unparseChild 長時間執行遞回呼叫，遠端攻擊者可利用此弱點，透過特製的 PDF 檔案造成拒絕服務。(CVE-2018-18020)

  - 在 QPDF 版本 10.0.4 中發現一個問題，其允許遠端攻擊者透過 Pl_ASCII85Decoder: : 特製的 .pdf 檔案在 libqpdf 中寫入參數。(CVE-2021-25786)

  - 在 QPDF 9.x 至 9.1.1 和 10.x 至 10.0.4 版中，當特定的下游寫入失敗時，Pl_ASCII85Decoder: : write (從 Pl_AES_PDF: : flush 和 Pl_AES_PDF: : finish) 存在堆積型緩衝區溢位。(CVE-2021-36978)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The version of qpdf installed on the remote host is prior to 5.0.1-4. It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2-2024-2409 advisory.

    2024-01-17: CVE-2021-36978 was added to this advisory.

    An issue was discovered in QPDF version 10.0.4, allows remote attackers to execute arbitrary code via     crafted .pdf file to Pl_ASCII85Decoder::write parameter in libqpdf. (CVE-2021-25786)

    QPDF 9.x through 9.1.1 and 10.x through 10.0.4 has a heap-based buffer overflow in     Pl_ASCII85Decoder::write (called from Pl_AES_PDF::flush and Pl_AES_PDF::finish) when a certain downstream     write fails. (CVE-2021-36978)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in QPDF version 10.0.4, allows remote attackers to execute arbitrary code via     crafted .pdf file to Pl_ASCII85Decoder::write parameter in libqpdf. (CVE-2021-25786)

Note that Nessus relies on the presence of the package as reported by the vendor.

远程 Debian 10 主机上安装的程序包受到 dla-3548 公告中提及的多个漏洞影响。

  - 在 QPDF 8.2.1 中，libqpdf/QPDFWriter.cc 中的 QPDFWriter: ：unparseObject 和 QPDFWriter: ：unparseChild 会长时间执行递归调用，远程攻击者可利用此问题，通过特制的 PDF 文件造成拒绝服务。(CVE-2018-18020)

  - 在 QPDF 版本 10.0.4中发现了一个问题，允许远程攻击者通过 Pl_ASCII85Decoder 的构建 .pdf 文件执行任意代码：：在 libqpdf 中写入参数。 (CVE-2021-25786)

  - 在 QPDF 9.x 至 9.1.1 和 10.x 至 10.0.4 版中，当特定的下游写入失败时，Pl_ASCII85Decoder: ：write（从 Pl_AES_PDF: ：flush 和 Pl_AES_PDF: ：finish）。(CVE-2021-36978)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 QPDF 版本 10.0.4中发现一个问题允许远程攻击者通过对 libqpdf 中的 Pl_ASCII85Decoder::write 参数构建的 .pdf 文件执行任意代码。 (CVE-2021-25786)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 qpdf 版本低于 5.0.1-4。因此，如公告 ALAS2-2024-2409 所述，受到多个漏洞的影响。

  - 在 QPDF 版本 10.0.4中发现了一个问题，允许远程攻击者通过 Pl_ASCII85Decoder 的构建 .pdf 文件执行任意代码：: 在 libqpdf 中写入参数。 (CVE-2021-25786)

  - 在 QPDF 9.x 至 9.1.1 和 10.x 至 10.0.4 版中，当特定的下游写入失败时，Pl_ASCII85Decoder: : write（从 Pl_AES_PDF: : flush 和 Pl_AES_PDF: : finish）。(CVE-2021-36978)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

遠端主機上安裝的 5.0.1-4 版本比 qpdf 版本舊。因此，會受到 ALAS2-2024-2409 公告中所提及的多個弱點影響。

  - 在 QPDF 版本 10.0.4 中發現一個問題，其允許遠端攻擊者透過 Pl_ASCII85Decoder: : 特製的 .pdf 檔案在 libqpdf 中寫入參數。(CVE-2021-25786)

  - 在 QPDF 9.x 至 9.1.1 和 10.x 至 10.0.4 版中，當特定的下游寫入失敗時，Pl_ASCII85Decoder: : write (從 Pl_AES_PDF: : flush 和 Pl_AES_PDF: : finish) 存在堆積型緩衝區溢位。(CVE-2021-36978)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 QPDF 版本 10.0.4中發現一個問題允許遠端攻擊者透過特製的 .pdf 檔案到 libqpdf 中的 Pl_ASCII85Decoder::write 參數執行任意程式碼。 (CVE-2021-25786)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - QPDF バージョン 10.0.4で、リモートの攻撃者が、libqpdf の Pl_ASCII85Decoder::write パラメーターに対する細工された .pdf ファイルから任意のコードを実行できる問題が発見されました。CVE-2021-25786

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている qpdf のバージョンは、5.0.1-4 より前です。したがって、ALAS2-2024-2409 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - QPDF バージョン 10.0.4 に問題が検出され、リモートの攻撃者が libqpdf の Pl_ASCII85Decoder: : write パラメータに細工された .pdf ファイルを介して任意のコードを実行する可能性があります。(CVE-2021-25786)

  - 9.x 〜 9.1.1 および 10.x 〜 10.0.4 の QPDF には、特定のダウンストリームの書き込みが失敗した場合、Pl_ASCII85Decoder: : write (Pl_AES_PDF:  : flush および Pl_AES_PDF:  : finish から呼び出された) にヒープベースのバッファオーバーフローが発生します。(CVE-2021-36978)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	Name	Product	Family	Published	Updated	Severity
180269	Debian dla-3548 : libqpdf-dev - security update	Nessus	Debian Local Security Checks	8/30/2023	1/22/2025	medium
180269	Debian DLA-3548-1 : qpdf - LTS セキュリティ更新	Nessus	Debian Local Security Checks	8/30/2023	1/22/2025	medium
180269	Debian DLA-3548-1：qpdf - LTS 安全性更新	Nessus	Debian Local Security Checks	8/30/2023	1/22/2025	medium
187822	Amazon Linux 2 : qpdf (ALAS-2024-2409)	Nessus	Amazon Linux Local Security Checks	1/9/2024	12/11/2024	medium
223750	Linux Distros Unpatched Vulnerability : CVE-2021-25786	Nessus	Misc.	3/4/2025	9/3/2025	medium
180269	Debian DLA-3548-1：qpdf - LTS 安全更新	Nessus	Debian Local Security Checks	8/30/2023	1/22/2025	medium
223750	Linux Distros 未修补的漏洞：CVE-2021-25786	Nessus	Misc.	3/4/2025	9/3/2025	medium
187822	Amazon Linux 2：qpdf (ALAS-2024-2409)	Nessus	Amazon Linux Local Security Checks	1/9/2024	12/11/2024	medium
187822	Amazon Linux 2：qpdf (ALAS-2024-2409)	Nessus	Amazon Linux Local Security Checks	1/9/2024	12/11/2024	medium
223750	Linux Distros 未修補的弱點：CVE-2021-25786	Nessus	Misc.	3/4/2025	9/3/2025	medium
223750	Linux Distros のパッチ未適用の脆弱性: CVE-2021-25786	Nessus	Misc.	3/4/2025	9/3/2025	medium
187822	Amazon Linux 2: qpdf（ALAS-2024-2409）	Nessus	Amazon Linux Local Security Checks	1/9/2024	12/11/2024	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium