远程 Ubuntu 16.04 LTS 主机上安装的多个程序包受到 USN-5389-1 公告中提及的多个漏洞影响。

  - 远程攻击者可利用 libcroco 0.6.11 和 0.6.12 中 cr-input.c 的 cr_input_new_from_uri 函数，通过特制的 CSS 文件造成拒绝服务（基于堆的缓冲区过度读取）。(CVE-2017-7960)

  - 远程攻击者可利用 libcroco 0.6.12 的 cr-tknzr.c 中 cr_tknzr_parse_comment 函数，通过特制的 CSS 文件造成拒绝服务（内存分配错误）。 (CVE-2017-8834)

  - 远程攻击者可利用 libcroco 0.6.12 的 cr-parser.c 中 cr_parser_parse_selector_core 函数，通过特制的 CSS 文件造成拒绝服务（无限循环和 CPU 消耗）。 (CVE-2017-8871)

  - libcroco 0.6.13 及其之前版本的 cr-parser.c 的 cr_parser_parse_any_core 中存在过多的递归，导致堆栈消耗。(CVE-2020-12825)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 14.04 LTS/18.04 LTS/20.04 LTS 主机上安装的多个程序包受到 USN-6958-1 公告中提及的多个漏洞影响。

    据发现，Libcroco 在读取内存字节时未正确访问数据结构，这可造成堆缓冲区溢出。攻击者可能会利用此问题发起拒绝服务攻击。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2017-7960)

    据发现，Libcroco 在处理 CSS 文件时未正确处理无效的 UTF-8 值。
    攻击者可能利用此问题造成拒绝服务。（CVE-2017-8834、CVE-2017-8871）

    据发现，Libcroco 未在其中一个解析函数中正确实现递归，从而因堆栈消耗导致无限递归循环和堆栈溢出。攻击者可能会利用此问题发起拒绝服务攻击。(CVE-2020-12825)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

根据安装的 libcroco 程序包版本，远程主机上的 EulerOS 安装会受到下列漏洞影响：- 在 libcroco 0.6.12 中，cr-tknzr.c 中的 cr_tknzr_parse_comment 函数可让远程攻击者通过特制的 CSS 文件造成拒绝服务（内存分配错误）。(CVE-2017-8834) - 在 libcroco 0.6.12 中，cr-parser.c 中的 cr_parser_parse_selector_core 函数可让远程攻击者通过特制的 CSS 文件造成拒绝服务（无限循环和 CPU 消耗）。(CVE-2017-8871) - 在 libcroco 0.6.11 和 0.6.12 中，cr-input.c 中的 cr_input_new_from_uri 函数可让远程攻击者通过特制的 CSS 文件造成拒绝服务（基于堆的缓冲区过度读取）。(CVE-2017-7960) - ** 有争议 ** 在 libcroco 0.6.11 和 0.6.12 中，cr-tknzr.c 中的 cr_tknzr_parse_rgb 函数有“超出 long 类型之可显示值的范围”的未定义行为问题，这可能会让远程攻击者通过特制的 CSS 文件造成拒绝服务（应用程序崩溃），或可能造成其他不明影响。注意：第三方分析报告指出，“就我的观点而言，这不是安全性问题。虽然该转换确实是将 double 截断为 long 值，但因为该值为 RGB 组件之一，因此没有任何影响。”(CVE-2017-7961) 请注意，Tenable Network Security 已直接从 EulerOS 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机受到 GLSA-201707-13 中所述漏洞的影响（libcroco：多个漏洞）

    已在 libcroco 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可引诱用户打开特别构建的 CSS 文件，从而可能导致拒绝服务情况或其他不明影响。
  变通方案：

    目前无任何已知的变通方案。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 远程攻击者可利用 libcroco 0.6.11 和 0.6.12 中 cr-input.c 的 cr_input_new_from_uri 函数，通过特制的 CSS 文件造成拒绝服务（基于堆的缓冲区过度读取）。(CVE-2017-7960)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

CVE-2017-7960 可通过特制的 CSS 文件远程触发基于堆的缓冲区过度读取漏洞，从而导致拒绝服务。CVE-2017-7961 在 libcroco 中发现一个“超出 long 类型可表示值范围”的未定义行为问题，可能允许远程攻击者通过特制的 CSS 文件导致拒绝服务（应用程序崩溃）或可能导致其他不明影响。对于 Debian 7“Wheezy”，这些问题已在 0.6.6-2+deb7u1 版本中修复。建议您升级 libcroco 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
160213	Ubuntu 16.04 ESM：Libcroco 漏洞 (USN-5389-1)	Nessus	Ubuntu Local Security Checks	2022/4/26	2024/8/27	high
205444	Ubuntu 14.04 LTS/18.04 LTS /20.04 LTS：Libcroco 漏洞 (USN-6958-1)	Nessus	Ubuntu Local Security Checks	2024/8/13	2025/9/3	high
131673	EulerOS 2.0 SP2：libcroco (EulerOS-SA-2019-2520)	Nessus	Huawei Local Security Checks	2019/12/4	2021/1/6	high
101344	GLSA-201707-13 : libcroco：多个漏洞	Nessus	Gentoo Local Security Checks	2017/7/10	2021/1/11	high
221793	Linux Distros 未修补的漏洞: CVE-2017-7960	Nessus	Misc.	2025/3/4	2025/9/4	medium
99603	Debian DLA-909-1：libcroco 安全更新	Nessus	Debian Local Security Checks	2017/4/24	2021/1/11	high

检测

插件搜索

high

high

high

high

medium

high