更新版 libraw 套件可修正安全性弱點：

發現 LibRaw 不正確處理相片檔案。如果使用者或自動化系統遭誘騙而處理特製的相片檔案，連結到 LibRaw 的應用程式可能會遭到損毀，從而導致拒絕服務情形 (CVE-2013-1438、CVE-2013-1439)。

Raphael Geissert 報告 LibRaw [1] 中有兩個拒絕服務瑕疵：

CVE-2013-1438：

特製的相片檔案可能會在 libraw 中觸發除數為零、無限迴圈或 NULL 指標解除參照的問題，從而導致使用該程式庫的應用程式拒絕服務。這些弱點似乎是源自於 dcraw，因此以其為基礎的任何程式或程式庫都會受到影響。列舉幾個確認的應用程式： dcraw、ufraw。其他受影響的軟體：shotwell、 darktable 和 digikam 所用的 libkdcraw (libraw 的 Qt-style 介面，使用內嵌複本)。

Google Picasa 顯然使用 dcraw/ufraw，因此也會受到影響。
dcraw 的首頁列有一份目前仍可能還在使用 dcraw 的應用程式清單：http://cybercom.net/~dcoffin/dcraw/

受影響的 libraw 版本：已確認：0.8-0.15.3；但也有可能所有版本都受到影響。

已修正：libraw 0.15.4

CVE-2013-1439：

特製的相片檔案可能會觸發一系列造成 NULL 指標解除參照的條件，從而導致使用該程式庫的應用程式拒絕服務。這三個弱點都和「更快的 LJPEG 解碼器」有關，其中，LibRaw 0.13 版引入了上游狀態，但 0.16 版即將停止此支援。

受影響的 libraw 版本：0.13.x-0.15.x

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現 LibRaw 不正確處理相片檔案。如果使用者或自動化系統遭誘騙而處理特製的相片檔案，連結到 LibRaw 的應用程式可能遭到損毀，從而導致拒絕服務情形。(CVE-2013-1438、CVE-2013-1439)。

此更新可強化 dcraw 以防禦損毀輸入檔案，這類檔案會觸發除以零、無限迴圈或 NULL 指標解除參照。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此更新可強化 ufraw 以防禦損毀輸入檔案，這類檔案會觸發除以零、無限迴圈或 NULL 指標解除參照。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此更新针对损坏的输入文件强化了 dcraw，否则这些文件可能触发除以零、无限循环或空指针取消引用。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机受到 GLSA-201309-09 中所述漏洞的影响（LibRaw、libkdcraw：多种漏洞）

在 LibRaw 和 libkdcraw 中发现了多种漏洞。
 请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可引诱用户打开特别构建的文件，这可能导致执行任意代码或拒绝服务。
 变通方案：

目前无任何已知的变通方案。

Raphael Geissert 报告了 LibRaw 中的两个拒绝服务缺陷 [1]：

CVE-2013-1438：

特别构建的照片文件可能触发除以零、无限循环或 libraw 中的空指针取消引用，从而导致使用该库的应用程序拒绝服务。这些漏洞似乎源自 dcraw，因此以其为基础的任何程序或库均受到影响。一些确认的应用程序：dcraw、ufraw。其他受影响的软件：digikam 使用的 shotwell、darktable 和 libkdcraw（libraw 的 Qt 样式接口，使用嵌入式副本）。

Google Picasa 显然使用 dcraw/ufraw，因此可能受到影响。
dcraw 的主页列出了可能仍然使用 dcraw 的应用程序：http://cybercom.net/~dcoffin/dcraw/

受影响的 libraw 版本：已确认：0.8-0.15.3；但可能所有版本都受到影响。

已修复：libraw 0.15.4

CVE-2013-1439：

特别构建的照片文件可能触发一系列空指针取消引用的情况，从而导致使用该库的应用程序拒绝服务。这三个漏洞存在于“更快的 LJPEG 解码器”中或与之有关，上游称 LibRaw 0.13 中引入该解码器，且 0.16 版将不支持该解码器。

受影响的 libraw 版本：0.13.x-0.15.x

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在用于处理来自数码照相机的原始格式图像的程序 dcraw 代码库中发现多个拒绝服务漏洞。此更新在内嵌于 exactimage 程序包的副本中修正这些漏洞。

ID	Name	Product	Family	Published	Updated	Severity
70385	Mandriva Linux 安全性公告：libraw (MDVSA-2013:249)	Nessus	Mandriva Local Security Checks	10/11/2013	1/6/2021	medium
69820	Fedora 19：LibRaw-0.14.8-3.fc19.20120830git98d925 (2013-15562)	Nessus	Fedora Local Security Checks	9/10/2013	1/11/2021	medium
70086	Ubuntu 12.04 LTS / 12.10 / 13.04：libraw 弱點 (USN-1964-1)	Nessus	Ubuntu Local Security Checks	9/24/2013	9/19/2019	medium
71480	Fedora 19 : dcraw-9.19-4.fc19 (2013-22900)	Nessus	Fedora Local Security Checks	12/17/2013	1/11/2021	medium
71481	Fedora 19 : ufraw-0.19.2-10.fc19 (2013-22924)	Nessus	Fedora Local Security Checks	12/17/2013	1/11/2021	medium
71482	Fedora 18：dcraw-9.19-4.fc18 (2013-22929)	Nessus	Fedora Local Security Checks	12/17/2013	1/11/2021	medium
69900	GLSA-201309-09：LibRaw、libkdcraw：多种漏洞	Nessus	Gentoo Local Security Checks	9/15/2013	1/6/2021	high
69821	Fedora 18：LibRaw-0.14.8-3.fc18.20120830git98d925 (2013-15576)	Nessus	Fedora Local Security Checks	9/10/2013	1/11/2021	medium
69523	Debian DSA-2748-1：exactimage - 拒绝服务	Nessus	Debian Local Security Checks	9/2/2013	1/11/2021	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

high

medium

medium