检测

CentOS Linux 7 [TuxCare] 安全更新：ImageMagick / ImageMagick-c++ / ImageMagick-c++-devel / 等多个漏洞 （CENTOS7：CLSA-2026：1784037535）

medium Nessus 插件 ID 360226

语言：

简介

CentOS Linux 主机缺少一个或多个安全更新。

描述

如 TuxCare CENTOS7：CLSA-2026：1784037535公告所述，CentOS Linux 7 主机上存在安装的程序包，该漏洞会受到多个漏洞的影响。

 - 之前 7.1.2-19 的 ImageMagick 在形态验证中包含一个差一错误，允许越界堆缓冲区读取。攻击者可通过提供不正确的形态参数来触发堆缓冲区溢出，从而造成单像素内存访问违规。（CVE-2026-56361）

 - ImageMagick 之前 7.1.2-15 和 6.9.x 以前 6.9.13-40 版本在 PSB （PSD v2） RLE 解码路径（coders/psd.c 中的 ReadPSDChannelRLE）中包含整数溢出，造成 32 位版本上的堆越界读取。处理构建的 PSB 文件可导致信息泄露或崩溃。（CVE-2026-56367）

 - ImageMagick 之前 7.1.2-15 在多个编码器中包含一个内存泄漏漏洞，这些编码器会在分配的对象未正确释放的情况下写入原始像素数据。攻击者可通过处理特别构建的图像触发此泄漏，从而造成内存耗尽和拒绝服务。(CVE-2026-56368)

 - 处理具有无效索引的已连接组件构件时，ImageMagick 之前 7.1.2-19 的 ConnectedComponentsImage（） 中包含一个越界访问漏洞。攻击者可通过 CLI 指定畸形的连接组件定义来触发访问冲突，从而造成拒绝服务或可能执行代码。（CVE-2026-56370）

 - ImageMagick 之前 7.1.2-15 （和 6.x 以前 6.9.13-40）在 PCD 编码器的 DecodeImage 循环中包含堆越界读取。特制的 PCD 文件可在图像解码期间触发单字节堆越界读取，从而导致拒绝服务以及可能泄露相邻堆字节。
 (CVE-2026-56378)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

根据 TuxCare 公告 CENTOS7：CLSA-2026：1784037535 中的指南更新受影响的程序包。

另见

https://cve.tuxcare.com/els/releases/CLSA-2026:1784037535

http://www.nessus.org/u?9595a12a

插件详情

严重性: Medium

ID: 360226

文件名: tuxcare_centos_7_CLSA-2026-1784037535.nasl

版本: 1.1

类型: Local

代理: unix

发布时间: 2026/10/1

最近更新时间: 2026/10/1

支持的传感器: Continuous Assessment, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.9

百分位: 58.14

Vendor

Vendor Severity: Critical

CVSS v2

风险因素: High

基本分数: 9.4

时间分数: 7

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:C

CVSS 分数来源: CVE-2026-56367

CVSS v3

风险因素: Critical

基本分数: 9.1

时间分数: 7.9

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

CVSS v4

风险因素: Medium

Base Score: 6.3

Threat Score: 1.7

Threat Vector: CVSS:4.0/E:U

Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

CVSS 分数来源: CVE-2026-56378

漏洞信息

必需的 KB 项: Host/OS/extended-third-party, Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list

易利用性: No known exploits are available

补丁发布日期: 2026/7/14

漏洞发布日期: 2026/2/25

参考资料信息

CVE: CVE-2026-56361, CVE-2026-56367, CVE-2026-56368, CVE-2026-56370, CVE-2026-56378

CLSA: 2026:1784037535