GLSA-201502-10：libpng：受用户协助的任意代码执行

critical Nessus 插件 ID 81368

语言：

简介

远程 Gentoo 主机缺少一个或多个与安全有关的修补程序。

描述

远程主机受到 GLSA-201502-10 中所述漏洞的影响（libpng：受用户协助的任意代码执行）

在 libpng 中发现两个漏洞：
png_user_version_check 函数包含一个内存越界访问错误（libpng 1.6.15 发行说明）
png_combine_row 函数包含一个整数溢出错误，可导致基于堆的缓冲区溢出 (CVE-2014-9495)
影响：

上下文有关的攻击者可引诱用户使用链接到 libpng 的应用程序打开特别构建的 PNG 文件，从而可能导致执行任意代码。
变通方案：

目前无任何已知的变通方案。

解决方案

所有 libpng 1.6 用户应升级到最新版本：# emerge --sync # emerge --ask --oneshot --verbose '>=media-libs/libpng-1.6.16' 所有 libpng 1.5 用户应升级到最新版本：# emerge --sync # emerge --ask --oneshot --verbose '>=media-libs/libpng-1.5.21'