远程主机上安装的 libpng 版本低于 1.5.13-8。因此，该软件受到 ALAS2-2025-3112 公告中提及的多个漏洞影响。

    处理带有畸形调色板索引的 PNG 文件时libpng 的 png_do_quantize 函数中存在一个堆缓冲区过度读取漏洞。未针对外部提供的图像数据验证 Palette_lookup 数组边界时会出现此漏洞从而允许攻击者使用可触发越界内存访问的越界调色板索引构建 PNG 文件。 (CVE-2025-64505)

    LIBPNG 是一个参考库在读取、创建和操纵 PNG可移植网络图形栅格图像文件的应用程序中使用。从版本 1.6.0 到 1.6.51之前的版本png_image_read_composite 中处理启用了 PNG_FLAG_OPTIMIZE_ALPHA 的调色板图像时存在越界读取漏洞。png_init_read_transformations 中的调色板复合代码在预乘期间未正确应用背景复合违反了简化的 PNG API 要求的 invariantcomponent <= alpha x 257。已在版本 1.6.51 中修补此问题。(CVE-2025-64720)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2libpng --advisory ALAS2-2025-3112 (ALAS-2025-3112)

high Nessus 插件 ID 281800

版本 1.1