Amazon Linux 2023：heif-pixbuf-loader、libheif、libheif-devel (ALAS2023-2026-3314)
medium Nessus 插件 ID 371847
语言：
简介
远程 Amazon Linux 2023 主机缺少安全更新。描述
因此，该软件受到 ALAS2023-2026-3314 公告中提及的多个漏洞影响。libheif 是一款 HEIF 和 AVIF 文件格式解码器和编码器。From 1.19.01.23.2until 、特制的 HEIF 或 AVIF mime 元数据和 unci 图像数据可造成 decompress_brotli（） 和 do_inflate（） 在无有效大小限制或 MemoryHandle 核算的情况下增加累积输出。brotli 路径没有输出边界，而 zlib 路径仅检查分支中有效流无法到达的小型临时缓冲区，重叠的 icef 单元可能会重复解压缩同一负载。
HeifContext：：interpret_heif_file_images（） 在文件打开期间处理多个压缩的元数据项目，允许较小的文件消耗无限内存并终止进程。此问题已在 1.23.2 版本中修复。(CVE-2026-84384)
libheif 是一款 HEIF 和 AVIF 文件格式解码器和编码器。在和更早版本中 1.23.1 ，构建的网格图、iovl 和 iden 参考图可以重复解码相同的基本图像，因为processed_ids是按分支复制的，并且 ImageItem：:d ecode_image（） 没有共享操作预算。此漏洞已在 1.23.2 中修复。
(CVE-2026-84447)
libheif 是一款 HEIF 和 AVIF 文件格式解码器和编码器。在低于 1.23.2的版本中，libheif/api/libheif/heif_regions.cc 中的公共 heif_region_item_add_region_inline_mask_data（） 函数接受mask_data_len，但未验证其是否等于宽度和高度所需的字节计数。稍后的 heif_region_get_mask_image（） 调用会从区域几何派生读取长度，因此存储的缓冲区过小会导致 heif_region_get_inline_mask_image（） 读取范围超过堆分配，并将相邻字节复制到返回的单色掩码图像中。这可泄露堆数据或使通过编写器 API 构造区域元数据的应用程序崩溃，而文件解析路径不会受到影响，因为它验证了规范掩码大小。此问题已在 1.23.2 版本中修复。
(CVE-2026-84448)
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“dnf update libheif --releasever 2023.12.20261026”或“dnf update --advisory ALAS2023-2026-3314 --releasever 2023.12.20261026”以更新系统。另见
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3314.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-84384.html
插件详情
严重性: Medium
ID: 371847
文件名: al2023_ALAS2023-2026-3314.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/10/25
最近更新时间: 2026/10/25
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Low
分数: 3
百分位: 23.61
CVSS v2
风险因素: Medium
基本分数: 5.6
时间分数: 4.1
矢量: CVSS2#AV:L/AC:L/Au:N/C:P/I:N/A:C
CVSS 分数来源: CVE-2026-84448
CVSS v3
风险因素: Medium
基本分数: 4
时间分数: 3.5
矢量: CVSS:3.0/AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:heif-pixbuf-loader-debuginfo, p-cpe:/a:amazon:linux:heif-pixbuf-loader, p-cpe:/a:amazon:linux:libheif-debuginfo, p-cpe:/a:amazon:linux:libheif-debugsource, p-cpe:/a:amazon:linux:libheif-devel, p-cpe:/a:amazon:linux:libheif-tools-debuginfo, p-cpe:/a:amazon:linux:libheif-tools, p-cpe:/a:amazon:linux:libheif
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/10/24
漏洞发布日期: 2026/9/18
参考资料信息
CVE: CVE-2026-84384, CVE-2026-84447, CVE-2026-84448
IAVB: 2026-B-0281