远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2021: 4231 公告中提及的多个漏洞的影响。

  - libwebp：WebPMuxCreateInternal 中存在越界读取问题 (CVE-2018-25009)

  - libwebp：ApplyFilter() 中存在越界读取问题 (CVE-2018-25010)

  - libwebp：WebPMuxCreateInternal() 中存在越界读取问题 (CVE-2018-25012)

  - libwebp：ShiftBytes() 中存在越界读取问题 (CVE-2018-25013)

  - libwebp：在 ReadSymbol() 中使用未初始化的值 (CVE-2018-25014)

  - libwebp：mux/muxread.c 的 ChunkVerifyAndAssign() 中存在越界读取问题 (CVE-2020-36330)

  - libwebp：mux/muxinternal.c 的 ChunkAssignData() 中存在越界读取问题 (CVE-2020-36331)

  - libwebp：读取文件时内存分配过多 (CVE-2020-36332)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Ubuntu 16.04 ESM 主机上安装的多个程序包受到 USN-4971-2 公告中提及的多个漏洞影响。

    USN-4971-1 修复了 libwebp 中的多个漏洞。此更新提供针对 Ubuntu 14.04 ESM 和 Ubuntu 16.04 ESM 的相应更新。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2021-4231 公告中提及的多个漏洞的影响。

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。函数 ReadSymbol 中使用了一个未初始化的变量。此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。(CVE-2018-25014)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ShiftBytes 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2018-25013)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ChunkAssignData 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2020-36331)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ChunkVerifyAndAssign 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2020-36330)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。读取文件时，libwebp 会分配过多内存。此漏洞对系统可用性威胁最大。
    (CVE-2020-36332)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 WebPMuxCreateInternal 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。（CVE-2018-25009、CVE-2018-25012）

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ApplyFilter 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2018-25010)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

在 libwebp 中发现多个安全问题

CVE-2018-25009

在函数 WebPMuxCreateInternal 中发现越界读取。此漏洞最主要的威胁对象是数据机密性和服务可用性。

CVE-2018-25010

在函数 ApplyFilter 中发现越界读取。此漏洞最主要的威胁对象是数据机密性和服务可用性。

CVE-2018-25011

在 PutLE16() 中发现基于堆的缓冲区溢出。此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。

CVE-2018-25012

在函数 WebPMuxCreateInternal 中发现越界读取。此漏洞最主要的威胁对象是数据机密性和服务可用性。

CVE-2018-25013

在函数 ShiftBytes 中发现越界读取。此漏洞最主要的威胁对象是数据机密性和服务可用性。

CVE-2018-25014

函数 ReadSymbol 中使用了一个未初始化的变量。此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。

CVE-2020-36328

函数 WebPDecodeRGBInto 中可能存在基于堆的缓冲区溢出，这是无效的缓冲区大小检查所致。此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。

CVE-2020-36329

发现一个释放后使用缺陷，这是线程过早终止所致。此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。

CVE-2020-36330

在函数 ChunkVerifyAndAssign 中发现越界读取。此漏洞最主要的威胁对象是数据机密性和服务可用性。

CVE-2020-36331

在函数 ChunkAssignData 中发现越界读取。此漏洞最主要的威胁对象是数据机密性和服务可用性。

对于 Debian 9 Stretch，已在版本 0.5.2-1+deb9u1 中修复这些问题。

我们建议您升级 libwebp 程序包。

如需了解 libwebp 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libwebp

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 AlmaLinux 8 主机上存在安装的程序包该程序包受到 ALSA-2021:4231 公告中提及的多个漏洞的影响。

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 WebPMuxCreateInternal 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。（CVE-2018-25009、CVE-2018-25012）

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ApplyFilter 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2018-25010)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ShiftBytes 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2018-25013)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。函数 ReadSymbol 中使用了一个未初始化的变量。此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。(CVE-2018-25014)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ChunkVerifyAndAssign 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2020-36330)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ChunkAssignData 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2020-36331)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。读取文件时，libwebp 会分配过多内存。此漏洞对系统可用性威胁最大。
    (CVE-2020-36332)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021:4231 公告中提及的多个漏洞的影响。

  - libwebp：WebPMuxCreateInternal 中存在越界读取问题 (CVE-2018-25009)

  - libwebp：ApplyFilter() 中存在越界读取问题 (CVE-2018-25010)

  - libwebp：WebPMuxCreateInternal() 中存在越界读取问题 (CVE-2018-25012)

  - libwebp：ShiftBytes() 中存在越界读取问题 (CVE-2018-25013)

  - libwebp：在 ReadSymbol() 中使用未初始化的值 (CVE-2018-25014)

  - libwebp：mux/muxread.c 的 ChunkVerifyAndAssign() 中存在越界读取问题 (CVE-2020-36330)

  - libwebp：mux/muxinternal.c 的 ChunkAssignData() 中存在越界读取问题 (CVE-2020-36331)

  - libwebp：读取文件时内存分配过多 (CVE-2020-36332)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2021:4231 中提及的多个漏洞的影响。

  - 在 1.0.1 之前版本的 libwebp 中发现 GetLE16() 中存在基于堆的缓冲区溢出。 (CVE-2018-25009)

  - 在 1.0.1 之前版本的 libwebp 中发现基于堆的缓冲区溢出。
    (CVE-2018-25010)

  - 在 1.0.1 之前版本的 libwebp 中GetLE24() 发现基于堆的缓冲区溢出。 (CVE-2018-25012)

  - 在 libwebp 1.0.1 之前版本的 ShiftBytes() 中发现基于堆的缓冲区溢出漏洞。
    (CVE-2018-25013)

  - 在 1.0.1 之前版本的 libwebp 的 ReadSymbol() 中发现使用了未初始化的值。
    (CVE-2018-25014)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ChunkVerifyAndAssign 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2020-36330)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ChunkAssignData 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2020-36331)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。读取文件时，libwebp 会分配过多内存。此漏洞对系统可用性威胁最大。
    (CVE-2020-36332)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 18.04 LTS / 20.04 LTS / 20.10 / 21.04 主机上安装的程序包受到 USN-4971-1 公告中提及的多个漏洞的影响。

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 WebPMuxCreateInternal 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。（CVE-2018-25009、CVE-2018-25012）

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ApplyFilter 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2018-25010)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在 PutLE16() 中发现基于堆的缓冲区溢出。
    此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。(CVE-2018-25011)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ShiftBytes 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2018-25013)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。函数 ReadSymbol 中使用了一个未初始化的变量。此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。(CVE-2018-25014)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。函数 WebPDecodeRGBInto 中可能存在基于堆的缓冲区溢出，这是无效的缓冲区大小检查所致。此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。(CVE-2020-36328)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。发现一个释放后使用缺陷，这是线程过早终止所致。此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。(CVE-2020-36329)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ChunkVerifyAndAssign 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2020-36330)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。在函数 ChunkAssignData 中发现越界读取。此漏洞对于数据机密性和服务可用性威胁最大。 (CVE-2020-36331)

  - 在版本 1.0.1 之前的 libwebp 中发现一个缺陷。读取文件时，libwebp 会分配过多内存。此漏洞对系统可用性威胁最大。
    (CVE-2020-36332)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
155205	CentOS 8：libwebp（CESA-2021：4231)	Nessus	CentOS Local Security Checks	2021/11/11	2021/11/11	critical
150492	Ubuntu 16.04 ESM：libwebp 漏洞 (USN-4971-2)	Nessus	Ubuntu Local Security Checks	2021/6/10	2024/10/29	critical
155405	Oracle Linux 8：libwebp (ELSA-2021-4231)	Nessus	Oracle Linux Local Security Checks	2021/11/17	2024/10/23	critical
150173	Debian DLA-2672-1：libwebp 安全更新	Nessus	Debian Local Security Checks	2021/6/3	2021/6/9	critical
157577	AlmaLinux 8libwebp (ALSA-2021:4231)	Nessus	Alma Linux Local Security Checks	2022/2/9	2022/2/14	critical
150301	Debian DLA-2677-1：libwebp 安全更新	Nessus	Debian Local Security Checks	2021/6/7	2024/1/12	critical
155159	RHEL 8：libwebp (RHSA-2021:4231)	Nessus	Red Hat Local Security Checks	2021/11/11	2025/3/20	critical
184888	Rocky Linux 8libwebp (RLSA-2021:4231)	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/11/7	critical
150131	Ubuntu 18.04 LTS / 20.04 LTS：libwebp 漏洞 (USN-4971-1)	Nessus	Ubuntu Local Security Checks	2021/6/1	2024/8/28	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical