This update for libquicktime fixes the following issues :

  - CVE-2017-9122: A DoS in quicktime_read_moov function in     moov.c via acrafted mp4 file was fixed. (bsc#1044077)

  - CVE-2017-9123: An invalid memory read in     lqt_frame_duration via a crafted mp4 file was fixed.
    (bsc#1044009)

  - CVE-2017-9124: A NULL pointer dereference in     quicktime_match_32 via a crafted mp4 file was fixed.
    (bsc#1044008)

  - CVE-2017-9125: A DoS in lqt_frame_duration function in     lqt_quicktime.c via crafted mp4 file was fixed.
    (bsc#1044122)

  - CVE-2017-9126: A heap-based buffer overflow in     quicktime_read_dref_table via a crafted mp4 file was     fixed. (bsc#1044006)

  - CVE-2017-9127: A heap-based buffer overflow in     quicktime_user_atoms_read_atom via a crafted mp4 file     was fixed. (bsc#1044002)

  - CVE-2017-9128: A heap-based buffer over-read in     quicktime_video_width via a crafted mp4 file was fixed.
    (bsc#1044000)

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

CVE-2017-9122

The quicktime_read_moov function in moov.c in libquicktime 1.2.4 allows remote attackers to cause a denial of service (infinite loop and CPU consumption) via a crafted mp4 file.

CVE-2017-9123

The lqt_frame_duration function in lqt_quicktime.c in libquicktime 1.2.4 allows remote attackers to cause a denial of service (invalid memory read and application crash) via a crafted mp4 file.

CVE-2017-9124

The quicktime_match_32 function in util.c in libquicktime 1.2.4 allows remote attackers to cause a denial of service (NULL pointer dereference and application crash) via a crafted mp4 file.

CVE-2017-9125

The lqt_frame_duration function in lqt_quicktime.c in libquicktime 1.2.4 allows remote attackers to cause a denial of service (heap-based buffer over-read) via a crafted mp4 file.

CVE-2017-9126

The quicktime_read_dref_table function in dref.c in libquicktime 1.2.4 allows remote attackers to cause a denial of service (heap-based buffer overflow and application crash) via a crafted mp4 file.

CVE-2017-9127

The quicktime_user_atoms_read_atom function in useratoms.c in libquicktime 1.2.4 allows remote attackers to cause a denial of service (heap-based buffer overflow and application crash) via a crafted mp4 file.

CVE-2017-9128

The quicktime_video_width function in lqt_quicktime.c in libquicktime 1.2.4 allows remote attackers to cause a denial of service (heap-based buffer over-read and application crash) via a crafted mp4 file.

For Debian 7 'Wheezy', these problems have been fixed in version 2:1.2.4-3+deb7u2.

We recommend that you upgrade your libquicktime packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Ubuntu 16.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4545-1 advisory.

    It was discovered that libquicktime incorrectly handled certain malformed MP4 files. If a user were     tricked into opening a specially crafted MP4 file, a remote attacker could use this issue to cause a     denial of service (resource exhaustion). (CVE-2017-9122)

    It was discovered that libquicktime incorrectly handled certain malformed MP4 files. If a user were     tricked into opening a specially crafted MP4 file, a remote attacker could use this issue to cause     libquicktime to crash, resulting in a denial of service. (CVE-2017-9123, CVE-2017-9124, CVE-2017-9126,     CVE-2017-9127, CVE-2017-9128)

    It was discovered that libquicktime incorrectly handled certain malformed MP4 files. If a user were     tricked into opening a specially crafted MP4 file, a remote attacker could use this issue to cause a     denial of service. (CVE-2017-9125)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

このlibquicktimeの更新では、次の問題が修正されます：

  - CVE-2017-9122：細工されたmp4ファイルによるmoov.cのquicktime_read_moov関数のDoSが修正されました。（bsc#1044077）

  - CVE-2017-9123：細工されたmp4ファイルによるlqt_frame_durationの無効なメモリ読み取りが修正されました。
    （bsc#1044009）

  - CVE-2017-9124：細工されたmp4ファイルによるquicktime_match_32のNULLポインター逆参照が修正されました。
    （bsc#1044008）

  - CVE-2017-9125：細工されたmp4ファイルによるlqt_quicktime.cのlqt_frame_duration関数のDoSが修正されました。
    （bsc#1044122）

  - CVE-2017-9126：細工されたmp4ファイルによるquicktime_read_dref_tableのヒープベースのバッファオーバーフローが修正されました。（bsc#1044006）

  - CVE-2017-9127：細工されたmp4ファイルによるquicktime_user_atoms_read_atomのヒープベースのバッファオーバーフローが修正されました。（bsc#1044002）

  - CVE-2017-9128：細工されたmp4ファイルによるquicktime_video_widthのヒープベースのバッファオーバーリードが修正されました。
    （bsc#1044000）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このlibquicktimeの更新では、次の問題が修正されます：

  - CVE-2017-9122：細工されたmp4ファイルによるmoov.cのquicktime_read_moov関数のDoSが修正されました。（boo#1044077）

  - CVE-2017-9123：細工されたmp4ファイルによるlqt_frame_durationの無効なメモリ読み取りが修正されました。
    （boo#1044009）

  - CVE-2017-9124：細工されたmp4ファイルによるquicktime_match_32のNULLポインター逆参照が修正されました。
    （boo#1044008）

  - CVE-2017-9125：細工されたmp4ファイルによるlqt_quicktime.cのlqt_frame_duration関数のDoSが修正されました。
    （boo#1044122）

  - CVE-2017-9126：細工されたmp4ファイルによるquicktime_read_dref_tableのヒープベースのバッファオーバーフローが修正されました。（boo#1044006）

  - CVE-2017-9127：細工されたmp4ファイルによるquicktime_user_atoms_read_atomのヒープベースのバッファオーバーフローが修正されました。（boo#1044002）

  - CVE-2017-9128：細工されたmp4ファイルによるquicktime_video_widthのヒープベースのバッファオーバーリードが修正されました。
    （boo#1044000）

This update for libquicktime fixes the following issues :

  - CVE-2017-9122: A DoS in quicktime_read_moov function in     moov.c via acrafted mp4 file was fixed. (boo#1044077)

  - CVE-2017-9123: An invalid memory read in     lqt_frame_duration via a crafted mp4 file was fixed.
    (boo#1044009)

  - CVE-2017-9124: A NULL pointer dereference in     quicktime_match_32 via a crafted mp4 file was fixed.
    (boo#1044008)

  - CVE-2017-9125: A DoS in lqt_frame_duration function in     lqt_quicktime.c via crafted mp4 file was fixed.
    (boo#1044122)

  - CVE-2017-9126: A heap-based buffer overflow in     quicktime_read_dref_table via a crafted mp4 file was     fixed. (boo#1044006)

  - CVE-2017-9127: A heap-based buffer overflow in     quicktime_user_atoms_read_atom via a crafted mp4 file     was fixed. (boo#1044002)

  - CVE-2017-9128: A heap-based buffer over-read in     quicktime_video_width via a crafted mp4 file was fixed.
    (boo#1044000)

CVE-2017-9122 遠端攻擊者可利用 libquicktime 1.2.4 中 moov.c 的 quicktime_read_moov 函式，透過特製的 mp4 檔案造成拒絕服務 (無限迴圈和 CPU 損毀)。CVE-2017-9123 遠端攻擊者可利用 libquicktime 1.2.4 中 lqt_quicktime.c 的 lqt_frame_duration 函式，透過特製的 mp4 檔案造成拒絕服務 (無效記憶體讀取和應用程式損毀)。CVE-2017-9124 遠端攻擊者可利用 libquicktime 1.2.4 中 util.c 的 quicktime_match_32 函式，透過特製的 mp4 檔案造成拒絕服務 (NULL 指標解除參照和應用程式損毀)。CVE-2017-9125 遠端攻擊者可利用 libquicktime 1.2.4 中 lqt_quicktime.c 的 lqt_frame_duration 函式，透過特製的 mp4 檔案造成拒絕服務 (堆積型緩衝區過度讀取)。CVE-2017-9126 遠端攻擊者可利用 libquicktime 1.2.4 中 dref.c 的 quicktime_read_dref_table 函式，透過特製的 mp4 檔案造成拒絕服務 (堆積型緩衝區溢位和應用程式損毀)。CVE-2017-9127 遠端攻擊者可利用 libquicktime 1.2.4 中 useratoms.c 的 quicktime_user_atoms_read_atom 函式，透過特製的 mp4 檔案造成拒絕服務 (堆積型緩衝區溢位和應用程式損毀)。CVE-2017-9128 遠端攻擊者可利用 libquicktime 1.2.4 中 lqt_quicktime.c 的 quicktime_video_width 函式，透過特製的 mp4 檔案造成拒絕服務 (堆積型緩衝區過度讀取和應用程式損毀)。針對 Debian 7「Wheezy」，這些問題已在 2:1.2.4-3+deb7u2 版本中修正。建議您升級 libquicktime 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

CVE-2017-9122

libquicktime 1.2.4のmoov.c内のquicktime_read_moov関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（無限ループとCPU消費）を引き起こすことができます。

CVE-2017-9123

libquicktime 1.2.4のlqt_quicktime.c内のlqt_frame_duration関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（無効なメモリ読み取りとアプリケーションクラッシュ）を引き起こすことができます。

CVE-2017-9124

libquicktime 1.2.4のutil.c内のquicktime_match_32関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（NULLポインターデリファレンスとアプリケーションクラッシュ）を引き起こすことができます。

CVE-2017-9125

libquicktime 1.2.4のlqt_quicktime.c内のlqt_frame_duration関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（ヒープベースのバッファオーバーリード）を引き起こすことができます。

CVE-2017-9126

libquicktime 1.2.4のdref.c内のquicktime_read_dref_table関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（ヒープベースのバッファオーバーフローとアプリケーションクラッシュ）を引き起こすことができます。

CVE-2017-9127

libquicktime 1.2.4のuseratoms.c内のquicktime_user_atoms_read_atom関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（ヒープベースのバッファオーバーフローとアプリケーションクラッシュ）を引き起こすことができます。

CVE-2017-9128

libquicktime 1.2.4のlqt_quicktime.c内のquicktime_video_width関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（ヒープベースのバッファオーバーリードとアプリケーションクラッシュ）を引き起こすことができます。

Debian 7「Wheezy」では、これらの問題はバージョン2:1.2.4-3+deb7u2で修正されました。

お使いのlibquicktimeパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

遠端 Ubuntu 16.04 LTS 主機已安裝套件，這些套件會受 USN-4545-1 公告中所提及的多個弱點影響。

  - 遠端攻擊者可利用 libquicktime 1.2.4中 moov.c 的 quicktime_read_moov 函式，透過特製的 mp4 檔案造成拒絕服務 (無限迴圈和 CPU 損毀)。(CVE-2017-9122)

  - 遠端攻擊者可利用 libquicktime 1.2.4 中 lqt_quicktime.c 的 lqt_frame_duration 函式，透過特製的 mp4 檔案造成拒絕服務 (無效記憶體讀取和應用程式損毀)。(CVE-2017-9123)

  - 遠端攻擊者可利用 libquicktime 1.2.4 中 util.c 的 quicktime_match_32 函式，透過特製的 mp4 檔案造成拒絕服務 (NULL 指標解除參照和應用程式損毀)。(CVE-2017-9124)

  - 遠端攻擊者可利用 libquicktime 1.2.4 中 lqt_quicktime.c 的 lqt_frame_duration 函式，透過特製的 mp4 檔案造成拒絕服務 (堆積型緩衝區過度讀取)。(CVE-2017-9125)

  - 遠端攻擊者可利用 libquicktime 1.2.4 中 dref.c 的 quicktime_read_dref_table 函式，透過特製的 mp4 檔案造成拒絕服務 (堆積型緩衝區溢位和應用程式損毀)。
    (CVE-2017-9126)

  - 遠端攻擊者可利用 libquicktime 1.2.4 中 useratoms.c 的 quicktime_user_atoms_read_atom 函式，透過特製的 mp4 檔案造成拒絕服務 (堆積型緩衝區溢位和應用程式損毀)。
    (CVE-2017-9127)

  - 遠端攻擊者可利用 libquicktime 1.2.4 中 lqt_quicktime.c 的 quicktime_video_width 函式，透過特製的 mp4 檔案造成拒絕服務 (堆積型緩衝區過度讀取和應用程式損毀)。
    (CVE-2017-9128)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

リモートのUbuntu 16.04 LTSホストには、USN-4545-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - libquicktime 1.2.4のmoov.c内のquicktime_read_moov関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（無限ループとCPU消費）を引き起こすことができます。（CVE-2017-9122）

  - libquicktime 1.2.4のlqt_quicktime.c内のlqt_frame_duration関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（無効なメモリ読み取りとアプリケーションクラッシュ）を引き起こすことができます。（CVE-2017-9123）

  - libquicktime 1.2.4のutil.c内のquicktime_match_32関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（NULLポインターデリファレンスとアプリケーションクラッシュ）を引き起こすことができます。（CVE-2017-9124）

  - libquicktime 1.2.4のlqt_quicktime.c内のlqt_frame_duration関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（ヒープベースのバッファオーバーリード）を引き起こすことができます。（CVE-2017-9125）

  - libquicktime 1.2.4のdref.c内のquicktime_read_dref_table関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（ヒープベースのバッファオーバーフローとアプリケーションクラッシュ）を引き起こすことができます。
    (CVE-2017-9126)

  - libquicktime 1.2.4のuseratoms.c内のquicktime_user_atoms_read_atom関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（ヒープベースのバッファオーバーフローとアプリケーションクラッシュ）を引き起こすことができます。
    (CVE-2017-9127)

  - libquicktime 1.2.4のlqt_quicktime.c内のquicktime_video_width関数では、リモート攻撃者が、細工したmp4ファイルを介して、サービス拒否（ヒープベースのバッファオーバーリードとアプリケーションクラッシュ）を引き起こすことができます。
    (CVE-2017-9128)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

远程 Ubuntu 16.04 LTS 主机上安装的程序包受到 USN-4545-1 公告中提及的多个漏洞的影响。

  - 远程攻击者可利用 libquicktime 1.2.4 中 moov.c 的 quicktime_read_moov 函数，通过特别构建的 mp4 文件造成拒绝服务（无效循环和 CPU 消耗）。(CVE-2017-9122)

  - 远程攻击者可利用 libquicktime 1.2.4 中 lqt_quicktime.c 的 lqt_frame_duration 函数，通过特别构建的 mp4 文件造成拒绝服务（无效内存读取和应用程序崩溃）。(CVE-2017-9123)

  - 远程攻击者可利用 libquicktime 1.2.4 中 util.c 的 quicktime_match_32 函数，通过特别构建的 mp4 文件造成拒绝服务（空指针取消引用和应用程序崩溃）。(CVE-2017-9124)

  - 远程攻击者可利用 libquicktime 1.2.4 中 lqt_quicktime.c 的 lqt_frame_duration 函数，通过特别构建的 mp4 文件造成拒绝服务（基于堆的缓冲区过度读取）。(CVE-2017-9125)

  - 远程攻击者可利用 libquicktime 1.2.4 中 dref.c 的 quicktime_read_dref_table 函数，通过特别构建的 mp4 文件造成拒绝服务（基于堆的缓冲区溢出和应用程序崩溃）。
    (CVE-2017-9126)

  - 远程攻击者可利用 libquicktime 1.2.4 中 useratoms.c 的 quicktime_user_atoms_read_atom 函数，通过特别构建的 mp4 文件造成拒绝服务（基于堆的缓冲区溢出和应用程序崩溃）。
    (CVE-2017-9127)

  - 远程攻击者可利用 libquicktime 1.2.4 中 lqt_quicktime.c 的 quicktime_video_width 函数，通过特别构建的 mp4 文件造成拒绝服务（基于堆的缓冲区过度读取和应用程序崩溃）。
    (CVE-2017-9128)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

CVE-2017-9122 libquicktime 1.2.4 中 moov.c 中的 quicktime_read_moov 函数允许远程攻击者通过特制的 mp4 文件导致拒绝服务（无效循环和 CPU 消耗）。CVE-2017-9123 libquicktime 1.2.4 中 lqt_quicktime.c 中的 lqt_frame_duration 函数允许远程攻击者通过特制的 mp4 文件导致拒绝服务（无效内存读取和应用程序崩溃）。CVE-2017-9124 libquicktime 1.2.4 中 util.c 中的 quicktime_match_32 函数允许远程攻击者通过特制的 mp4 文件导致拒绝服务（空指针取消引用和应用程序崩溃）。CVE-2017-9125 libquicktime 1.2.4 中 lqt_quicktime.c 中的 lqt_frame_duration 函数允许远程攻击者通过特制的 mp4 文件导致拒绝服务（基于堆的缓冲区过度读取）。CVE-2017-9126 libquicktime 1.2.4 中 dref.c 中的 quicktime_read_dref_table 函数允许远程攻击者通过特制的 mp4 文件导致拒绝服务（基于堆的缓冲区溢出和应用程序崩溃）。CVE-2017-9127 libquicktime 1.2.4 中 useratoms.c 中的 quicktime_user_atoms_read_atom 函数允许远程攻击者通过特制的 mp4 文件导致拒绝服务（基于堆的缓冲区溢出和应用程序崩溃）。CVE-2017-9128 libquicktime 1.2.4 中 lqt_quicktime.c 中的 quicktime_video_width 函数允许远程攻击者通过特制的 mp4 文件导致拒绝服务（基于堆的缓冲区过度读取和应用程序崩溃）。对于 Debian 7“Wheezy”，这些问题已在 2:1.2.4-3+deb7u2 版本中修复。建议您升级 libquicktime 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	Name	Product	Family	Published	Updated	Severity
101223	SUSE SLED12 / SLES12 Security Update : libquicktime (SUSE-SU-2017:1769-1)	Nessus	SuSE Local Security Checks	7/5/2017	1/6/2021	medium
102040	Debian DLA-1042-1 : libquicktime security update	Nessus	Debian Local Security Checks	7/31/2017	1/11/2021	medium
140800	Ubuntu 16.04 LTS : libquicktime vulnerabilities (USN-4545-1)	Nessus	Ubuntu Local Security Checks	9/26/2020	8/27/2024	medium
101223	SUSE SLED12 / SLES12セキュリティ更新プログラム：libquicktime（SUSE-SU-2017:1769-1）	Nessus	SuSE Local Security Checks	7/5/2017	1/6/2021	medium
101282	openSUSEセキュリティ更新プログラム：libquicktime（openSUSE-2017-785）	Nessus	SuSE Local Security Checks	7/7/2017	1/19/2021	medium
101282	openSUSE Security Update : libquicktime (openSUSE-2017-785)	Nessus	SuSE Local Security Checks	7/7/2017	1/19/2021	medium
102040	Debian DLA-1042-1：libquicktime 安全性更新	Nessus	Debian Local Security Checks	7/31/2017	1/11/2021	medium
102040	Debian DLA-1042-1: libquicktimeセキュリティ更新	Nessus	Debian Local Security Checks	7/31/2017	1/11/2021	medium
140800	Ubuntu 16.04 LTS：libquicktime 弱點 (USN-4545-1)	Nessus	Ubuntu Local Security Checks	9/26/2020	8/27/2024	medium
140800	Ubuntu 16.04 LTS：libquicktimeの脆弱性（USN-4545-1）	Nessus	Ubuntu Local Security Checks	9/26/2020	8/27/2024	medium
140800	Ubuntu 16.04 LTS：libquicktime 漏洞 (USN-4545-1)	Nessus	Ubuntu Local Security Checks	9/26/2020	8/27/2024	medium
102040	Debian DLA-1042-1：libquicktime 安全更新	Nessus	Debian Local Security Checks	7/31/2017	1/11/2021	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium