The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A stack-consumption vulnerability was found in libqpdf in QPDF 6.0.0, which allows attackers to cause a     denial of service via a crafted file, related to the QPDFTokenizer::resolveLiteral function in     QPDFTokenizer.cc after two consecutive calls to QPDFObjectHandle::parseInternal, aka an infinite loop.
    (CVE-2017-11624)

Note that Nessus relies on the presence of the package as reported by the vendor.

This update for qpdf fixes the following issues :

qpdf was updated to 7.1.1.

Security issues fixed :

CVE-2017-11627: A stack-consumption vulnerability which allows attackers to cause DoS (bsc#1050577).

CVE-2017-11625: A stack-consumption vulnerability which allows attackers to cause DoS (bsc#1050579).

CVE-2017-11626: A stack-consumption vulnerability which allows attackers to cause DoS (bsc#1050578).

CVE-2017-11624: A stack-consumption vulnerability which allows attackers to cause DoS (bsc#1050581).

CVE-2017-12595: Stack overflow when processing deeply nested arrays and dictionaries (bsc#1055960).

CVE-2017-9209: Remote attackers can cause a denial of service (infinite recursion and stack consumption) via a crafted PDF document (bsc#1040312).

CVE-2017-9210: Remote attackers can cause a denial of service (infinite recursion and stack consumption) via a crafted PDF document (bsc#1040313).

CVE-2017-9208: Remote attackers can cause a denial of service (infinite recursion and stack consumption) via a crafted PDF document (bsc#1040311).

  - Check release notes for detailed bug fixes.

  - http://qpdf.sourceforge.net/files/qpdf-manual.html#ref.release-notes

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このqpdfの更新では、次の問題を修正します：

qpdfは7.1.1に更新しました。

修正されたセキュリティ問題：

CVE-2017-11627：スタック消費の脆弱性により、攻撃者がDoSを引き起こすことができます（bsc#1050577）。

CVE-2017-11625：スタック消費の脆弱性により、攻撃者がDoSを引き起こすことができます（bsc#1050579）。

CVE-2017-11626：スタック消費の脆弱性により、攻撃者がDoSを引き起こすことができます（bsc#1050578）。

CVE-2017-11624：スタック消費の脆弱性により、攻撃者がDoSを引き起こすことができます（bsc#1050581）。

CVE-2017-12595：深くネスト化した配列と辞書を処理する際のスタックオーバーフロー（bsc#1055960）。

CVE-2017-9209：リモート攻撃者が、細工されたPDFドキュメントを介してサービス拒否（無限再帰およびスタック消費）を引き起こす可能性があります（bsc#1040312）。

CVE-2017-9210：リモート攻撃者が、細工されたPDFドキュメントを介してサービス拒否（無限再帰およびスタック消費）を引き起こす可能性があります（bsc#1040313）。

CVE-2017-9208：リモート攻撃者が、細工されたPDFドキュメントを介してサービス拒否（無限再帰およびスタック消費）を引き起こす可能性があります（bsc#1040311）。

  - 詳細なバグ修正については、リリースノートをチェックしてください。

  - http://qpdf.sourceforge.net/files/qpdf-manual.html#ref.release-notes

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - QPDF の libqpdf にスタック消費の脆弱性が見つかりました 6.0.0。これにより、攻撃者は、QPDFObjectHandle::parseInternal を 2 回連続して呼び出した後に、QPDFTokenizer.cc の QPDFTokenizer::resolveLiteral 関数に関連して、細工されたファイルを介してサービス拒否を引き起こすことが可能です。 、別名無限ループ。
    (CVE-2017-11624)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 QPDF 6.0.0的 libqpdf 中發現一個堆疊消耗弱點，可讓攻擊者在連續兩次呼叫 QPDFObjectHandle::parseInternal 之後，透過與 QPDFTokenizer.cc 中的 QPDFTokenizer::resolveLiteral 函式相關的特製檔案造成拒絕服務，亦即無限迴圈。
    (CVE-2017-11624)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 QPDF 6.0.0的 libqpdf 中发现堆栈消耗漏洞，允许攻击者通过特制的文件造成拒绝服务，这与两次连续调用 QPDFObjectHandle::parseInternal 后 QPDFTokenizer.cc 中的 QPDFTokenizer::resolveLiteral 函数相关。 ，即无限循环。
    (CVE-2017-11624)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The remote Ubuntu 14.04 LTS / 16.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-3638-1 advisory.

    It was discovered that QPDF incorrectly handled certain malformed files. A remote attacker could use this     issue to cause QPDF to crash, resulting in a denial of service, or possibly execute arbitrary code.

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

QPDFが、特定の不正な形式のファイルを不適切に処理することが判明しました。リモートの攻撃者がこの問題を悪用してQPDFをクラッシュさせ、サービス拒否を引き起こしたり、任意のコードを実行する可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

This version update for qpdf to 7.1.1 fixes the following issues :

  - Update to version 7.1.1

  - Fix one linearization bug affecting files whose first     /ID component is not 16 bytes long

  - Update to version 7.1.0

  - Allow raw encryption key to be specified in libary and     command line with the QPDF::setPasswordIsHexKey method     and

    --password-is-hex-key option. Allow encryption key to be     displayed with --show-encryption-key option. See     https://blog.didierstevens.com/2017/12/28/cracking-encry     pted-pdfs-part-3/ for a discussion of using this for     cracking encrypted PDFs. I hope that a future release of     qpdf will include some additional recovery options that     may also make use of this capability.

  - Fix lexical error: the PDF specification allows floating     point numbers to end with '.'

  - Fix link order in the build to avoid conflicts when     building from source while an older version of qpdf is     installed

  - Add support for TIFF predictor for LZW and Flate     streams. Now

  - Clarify documentation around options that control     parsing but not output creation. Two options:
    --suppress-recovery and

    --ignore-xref-streams, were documented in the 'Advanced     Transformation Options' section of the manual and --help     output even though they are not related to output. These     are now described in a separate section called 'Advanced     Parsing Options.'

  - Implement remaining PNG filters for decode. Prior     versions could decode only the 'up' filter. Now all PNG     filters (sub, up, average, Paeth, optimal) are supported     for decoding. The implementation of the remaining PNG     filters changed the interface to the private     Pl_PNGFilter class, but this class's header file is not     in the installation, and there is no public interface to     the class. Within the library, the class is never     allocated on the stack; it is only ever dynamically     allocated. As such, this does not actually break binary     compatibility of the library. all predictor functions     are supported

  - Update to version 7.0.0

  - License is now Apache-2.0

  - Add new libjpeg8-devel dependency

  - Improve the error message that is issued when QPDFWriter     encounters a stream that can't be decoded. In     particular, mention that the stream will be copied     without filtering to avoid data loss.

  - Add new methods to the C API to correspond to new     additions to QPDFWriter :

    &#9;- qpdf_set_compress_streams

    &#9;- qpdf_set_decode_level

    &#9;- qpdf_set_preserve_unreferenced_objects

    &#9;- qpdf_set_newline_before_endstream

  - Add support for writing PCLm files

  - QPDF now supports reading and writing streams encoded     with JPEG or RunLength encoding. Library API     enhancements and command-line options have been added to     control this behavior. See command-line options
    --compress-streams and --decode-level and methods     QPDFWriter::setCompressStreams and     QPDFWriter::setDecodeLevel.

  - Page rotation is now supported and accessible from both     the library and the command line.

  - Fixes CVE-2017-12595 boo#1055960, CVE-2017-9208     boo#1040311 CVE-2017-9209 boo#1040312, CVE-2017-9210     boo#1040313, CVE-2017-11627 boo#1050577, CVE-2017-11626     boo#1050578, CVE-2017-11625 boo#1050579, CVE-2017-11624     boo#1050581

  - Update to version 6.0.0

  - Bump shared library version since 5.2.0 broke ABI.

  - Update to version 5.2.0

  - Support for deterministic /IDs for non-encrypted files.
    This is off by default.

  - Handle more invalid xref tables

Security fix for CVE-2017-11627, CVE-2017-11626, CVE-2017-11625, CVE-2017-11624, CVE-2017-9208, CVE-2017-9209, CVE-2017-9210.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

发现 QPDF 未能正确处理某些畸形的文件。远程攻击者可以利用此问题导致 QPDF 崩溃，从而导致拒绝服务或执行任意代码。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

據發現，QPDF 未正確處理某些格式錯誤的檔案。遠端攻擊者可利用此問題造成 QPDF 損毀，進而導致拒絕服務，或可能執行任意程式碼。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

このqpdfのバージョン7.1.1への更新では、以下の問題を修正します：

  - バージョン 7.1.1 に更新してください

  - 最初の/IDコンポーネントが16バイト長でないファイルに影響を与える1つの線形化バグを修正します

  - バージョン 7.1.0 に更新してください

  QPDF::setPasswordIsHexKeyメソッドを含むライブラリおよびコマンドで指定されるraw暗号化鍵を許可し、さらに

    --password-is-hex-key オプション。--show-encryption-keyオプションを使用して暗号化鍵の表示を許可します。暗号化されたPDFを解読するためにこれを使用することの説明については、https://blog.didierstevens.com/2017/12/28/cracking-encrypted-pdfs-part-3/を参照してください。qpdfの今後のリリースでは、この機能を利用する可能性がある一部の追加リカバリオプションが含まれることが期待されます。

  - 語彙のエラーを修正します：PDF仕様では、浮動小数点数が「.」で終わることが許可されています

  - qpdfの古いバージョンがインストールされていて、ソースから構築する場合に競合を回避するため、ビルド内のリンク順序を修正します

  - LZWおよびFlateストリーム用のTIFF予測子のサポートを追加します。現在

  - 解析を制御するものの出力作成を制御しないオプションに関するドキュメントを明確化します。2つのオプション：
    --suppress-recovery および

    --ignore-xref-streamsは、出力に関連していないものの 、マニュアルおよび--help出力の「Advanced Transformation Options（詳細な変換オプション）」セクションで文書化されています。これらは、「Advanced Parsing Options（詳細な解析オプション）」と呼ばれる別のセクションで説明されています。

  - デコードのために残りのPNGフィルターを実装します。以前のバージョンでは、「up」フィルターのみをデコードできました。現在、すべてのPNGフィルター（sub、up、avem、vg、Paeth、optimal）がデコードにサポートされています。残りのPNGフィルターの実装により、インターフェイスがプライベートなPl_PNGFilterクラスに変更されましたが、このクラスのヘッダーファイルはインストールされておらず、クラスにパブリックインターフェイスはありません。ライブラリ内では、クラスはスタックに割り当てられることはありません。これは動的にのみ割り当てられます。そのため、実際にはライブラリのバイナリ互換性は遮断されません。すべての予測関数がサポートされます

  - バージョン 7.0.0 に更新してください

  - ライセンスは現在Apache-2.0です

  - 新しいlibjpeg8-devel依存関係を追加します

  - QPDFWriterがデコードできないストリームに遭遇した場合に発行されるエラーメッセージを改善します。特に、データ損失を回避するために、ストリームはフィルタリングせずにコピーされることに言及します。

  - QPDFWriterへの新たな追加に対応するために、C APIに新しいメソッドを追加します：

    	- qpdf_set_compress_streams

    	- qpdf_set_decode_level

    	- qpdf_set_preserve_unreferenced_objects

    	- qpdf_set_newline_before_endstream

  - PCLmファイルを書き込むためのサポートを追加します

  - QPDFは、JPEGまたはRunLengthエンコーディングを使用してエンコードされたストリームの読み書きをサポートするようになりました。この動作を制御するために、ライブラリAPI強化およびコマンドラインオプションが追加されました。コマンドラインオプションを参照してください
    --compress-streamsおよび--decode-levelおよびメソッドQPDFWriter：：setCompressStreamsおよびQPDFWriter：：setDecodeLevel。

  - ページの回転がサポートされるようになり、ライブラリとコマンドラインの両方からアクセスできます。

  - CVE-2017-12595 boo#1055960、CVE-2017-9208boo#1040311 CVE-2017-9209 boo#1040312、CVE-2017-9210boo#1040313、CVE-2017-11627boo#1050577、CVE-2017-11626boo#1050578、CVE-2017-11625boo#1050579、CVE-2017-11624boo#1050581を修正します

  - バージョン 6.0.0 に更新してください

  - 5.2.0がABIを中断させて以降の共有ライブラリのバージョンをバンプします。

  - バージョン 5.2.0 に更新してください

  - 暗号化されていないファイルの決定性/IDをサポートします。
    これはデフォルトではオフになっています。

  - より多くの無効な相互参照テーブルを処理します

CVE-2017-11627、CVE-2017-11626、CVE-2017-11625、CVE-2017-11624、CVE-2017-9208、CVE-2017-9209、CVE-2017-9210のセキュリティ修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
220221	Linux Distros Unpatched Vulnerability : CVE-2017-11624	Nessus	Misc.	2025/3/4	2025/9/4	medium
118301	SUSE SLES12 Security Update : qpdf (SUSE-SU-2018:3066-2)	Nessus	SuSE Local Security Checks	2018/10/22	2024/7/30	high
118301	SUSE SLES12セキュリティ更新プログラム：qpdf（SUSE-SU-2018:3066-2）	Nessus	SuSE Local Security Checks	2018/10/22	2024/7/30	high
220221	Linux Distros のパッチ未適用の脆弱性: CVE-2017-11624	Nessus	Misc.	2025/3/4	2025/9/4	medium
220221	Linux Distros 未修補弱點：CVE-2017-11624	Nessus	Misc.	2025/3/4	2025/9/4	medium
220221	Linux Distros 未修补的漏洞: CVE-2017-11624	Nessus	Misc.	2025/3/4	2025/9/4	medium
109600	Ubuntu 14.04 LTS / 16.04 LTS : QPDF vulnerabilities (USN-3638-1)	Nessus	Ubuntu Local Security Checks	2018/5/8	2024/8/27	high
109600	Ubuntu 14.04 LTS / 16.04 LTS : QPDFの脆弱性 (USN-3638-1)	Nessus	Ubuntu Local Security Checks	2018/5/8	2024/8/27	high
106894	openSUSE Security Update : qpdf (openSUSE-2018-176)	Nessus	SuSE Local Security Checks	2018/2/20	2021/1/19	high
117993	SUSE SLED12 / SLES12 Security Update : qpdf (SUSE-SU-2018:3066-1)	Nessus	SuSE Local Security Checks	2018/10/9	2024/7/31	high
102215	Fedora 26 : qpdf (2017-e58a762c3f)	Nessus	Fedora Local Security Checks	2017/8/7	2021/1/6	medium
109600	Ubuntu 14.04 LTS / 16.04 LTS：QPDF 漏洞 (USN-3638-1)	Nessus	Ubuntu Local Security Checks	2018/5/8	2024/8/27	high
109600	Ubuntu 14.04 LTS / 16.04 LTS：QPDF 弱點 (USN-3638-1)	Nessus	Ubuntu Local Security Checks	2018/5/8	2024/8/27	high
106894	openSUSEセキュリティ更新プログラム：qpdf（openSUSE-2018-176）	Nessus	SuSE Local Security Checks	2018/2/20	2021/1/19	high
117993	SUSE SLED12 / SLES12セキュリティ更新プログラム：qpdf（SUSE-SU-2018:3066-1）	Nessus	SuSE Local Security Checks	2018/10/9	2024/7/31	high
102215	Fedora 26：qpdf（2017-e58a762c3f）	Nessus	Fedora Local Security Checks	2017/8/7	2021/1/6	medium

检测

插件搜索

medium

high

high

medium

medium

medium

high

high

high

high

medium

high

high

high

high

medium