It was discovered that there was an input validation vulnerability in the librsvg renderer library that could result in data being leaked to remote attackers via a specially crafted file.

For Debian 7 'Wheezy', this issue has been fixed in librsvg version 2.36.1-2+deb7u3.

We recommend that you upgrade your librsvg packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for librsvg fixes the following issues :

  - CVE-2018-1000041: Input validation issue could lead to     credentials leak. (bsc#1083232) Update to version     2.40.20 :

  + Except for emergencies, this will be the LAST RELEASE of     the librsvg-2.40.x series. We are moving to 2.41, which     is vastly improved over the 2.40 series. The API/ABI     there remain unchaged, so we strongly encourage you to     upgrade your sources and binaries to librsvg-2.41.x.

  + bgo#761175 - Allow masks and clips to reuse a node being     drawn.

  + Don't access the file system when deciding whether to     load a remote file with a UNC path for a paint server     (i.e. don't try to load it at all).

  + Vistual Studio: fixed and integrated introspection     builds, so introspection data is built directly from the     Visual Studio project (Chun-wei Fan).

  + Visual Studio: We now use HIGHENTROPYVA linker option on     x64 builds, to enhance the security of built binaries     (Chun-wei Fan).

  + Fix generation of Vala bindings when compiling in     read-only source directories (Emmanuele Bassi). Update     to version 2.40.19 :

  + bgo#621088: Using text objects as clipping paths is now     supported.

  + bgo#587721: Fix rendering of text elements with     transformations (Massimo).

  + bgo#777833 - Fix memory leaks when an RsvgHandle is     disposed before being closed (Philip Withnall).

  + bgo#782098 - Don't pass deprecated options to gtk-doc     (Ting-Wei Lan).

  + bgo#786372 - Fix the default for the 'type' attribute of     the <style> element.

  + bgo#785276 - Don't crash on single-byte files.

  + bgo#634514: Don't render unknown elements and their     sub-elements.

  + bgo#777155 - Ignore patterns that have close-to-zero     dimensions.

  + bgo#634324 - Fix Gaussian blurs with negative scaling.

  + Fix the <switch> element; it wasn't working at all.

  + Fix loading when rsvg_handle_write() is called one byte     at a time.

  + bgo#787895 - Fix incorrect usage of libxml2. Thanks to     Nick Wellnhofer for advice on this.

  + Backported the test suite machinery from the master     branch (Chun-wei Fan, Federico Mena).

  + We now require Pango 1.38.0 or later (released in 2015).

  + We now require libxml2 2.9.0 or later (released in     2012).

</style>

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このlibrsvgの更新では、次の問題が修正されます：

  - CVE-2018-1000041：入力検証の問題が、認証情報の漏洩につながる可能性がありました。（bsc#1083232）

バージョン 2.40.20 に更新してください：

  + 緊急の場合を除いて、これがlibrsvg-2.40.xシリーズの最新リリースになります。現在は、2.40シリーズを大幅に改善した2.41に移行中です。API/ABIは変更されていないため、ソースとバイナリをlibrsvg-2.41.xにアップグレードすることを強くお勧めします。

  + bgo#761175 - マスクとクリップで描画中のノードを再利用できます。

  + ペイントサーバー用のUNCパスを含むリモートファイルをロードするかどうかを判断する際に、ファイルシステムにアクセスしません（つまり、ロードを一切試みません）。

  + Vistual Studio：イントロスペクションデータがVisual Studioプロジェクトから直接ビルドされるように、イントロスペクションビルドを修正して統合しました（Chun-wei Fan）。

  + Vistual Studio：現在は、x64ビルドでHIGHENTROPYVAリンカーオプションを使用して、ビルドしたバイナリのセキュリティを強化しています（Chun-wei Fan）。

  + 読み取り専用のソースディレクトリでコンパイルする場合のValaバインディングの生成を修正します（Emmanuele Bassi）。

バージョン 2.40.19 に更新してください：

  + bgo#621088：クリッピングパスとしてのテキストオブジェクトの使用がサポートされるようになりました。

  + bgo#587721：変換に伴うテキスト要素のレンダリングを修正します（Massimo）。

  + bgo#777833 - RsvgHandleが閉じる前に破棄されたときのメモリリークを修正します（Philip Withnall）。

  + bgo#782098 - 廃止されたオプションをgtk-docに渡しません（Ting-Wei Lan）。

  + bgo#786372 - <style>要素の「type」属性のデフォルトを修正します。

  + bgo#785276 - シングルバイトのファイルでクラッシュしないようにします。

  + bgo#634514：不明な要素とそのサブ要素をレンダリングしないようにします。

  + bgo#777155 - 寸法が0に近いパターンを無視します。

  + bgo#634324 - 負のスケーリングによるガウスぼかしを修正します。

  + まったく機能していなかった<switch>要素を修正します。

  + rsvg_handle_write()が一度に1バイト呼び出される場合のロードを修正します。

  + bgo#787895 - libxml2の不適切な使用を修正します。これに関するアドバイスをくれたNick Wellnhofer氏に感謝の意を表します。

  + マスターブランチからテストスイート装置をバックポートしました（Chun-wei Fan、Federico Mena）。

  + 現在は、Pango 1.38.0以降（2015年にリリース）が必要です。

  + 現在は、libxml2 2.9.0以降（2012年にリリース）が必要です。

この更新はSUSEからインポートされました：SLE-12-SP2：更新プロジェクトを更新します。

This update for librsvg fixes the following issues :

  - CVE-2018-1000041: Input validation issue could lead to     credentials leak. (bsc#1083232)

Update to version 2.40.20 :

  + Except for emergencies, this will be the LAST RELEASE of     the librsvg-2.40.x series. We are moving to 2.41, which     is vastly improved over the 2.40 series. The API/ABI     there remain unchaged, so we strongly encourage you to     upgrade your sources and binaries to librsvg-2.41.x.

  + bgo#761175 - Allow masks and clips to reuse a node being     drawn.

  + Don't access the file system when deciding whether to     load a remote file with a UNC path for a paint server     (i.e. don't try to load it at all).

  + Vistual Studio: fixed and integrated introspection     builds, so introspection data is built directly from the     Visual Studio project (Chun-wei Fan).

  + Visual Studio: We now use HIGHENTROPYVA linker option on     x64 builds, to enhance the security of built binaries     (Chun-wei Fan).

  + Fix generation of Vala bindings when compiling in     read-only source directories (Emmanuele Bassi).

Update to version 2.40.19 :

  + bgo#621088: Using text objects as clipping paths is now     supported.

  + bgo#587721: Fix rendering of text elements with     transformations (Massimo).

  + bgo#777833 - Fix memory leaks when an RsvgHandle is     disposed before being closed (Philip Withnall).

  + bgo#782098 - Don't pass deprecated options to gtk-doc     (Ting-Wei Lan).

  + bgo#786372 - Fix the default for the 'type' attribute of     the <style> element.

  + bgo#785276 - Don't crash on single-byte files.

  + bgo#634514: Don't render unknown elements and their     sub-elements.

  + bgo#777155 - Ignore patterns that have close-to-zero     dimensions.

  + bgo#634324 - Fix Gaussian blurs with negative scaling.

  + Fix the <switch> element; it wasn't working at all.

  + Fix loading when rsvg_handle_write() is called one byte     at a time.

  + bgo#787895 - Fix incorrect usage of libxml2. Thanks to     Nick Wellnhofer for advice on this.

  + Backported the test suite machinery from the master     branch (Chun-wei Fan, Federico Mena).

  + We now require Pango 1.38.0 or later (released in 2015).

  + We now require libxml2 2.9.0 or later (released in     2012).

This update was imported from the SUSE:SLE-12-SP2:Update update project.

已发现 librsvg 呈现器库中存在一个输入验证漏洞，可导致数据通过特制的文件泄露给远程攻击者。对于 Debian 7“Wheezy”，此问题已在 librsvg 版本 2.36.1-2+deb7u3 中修复。建议您升级 librsvg 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

このlibrsvgの更新では、次の問題が修正されます：

  - CVE-2018-1000041：入力検証の問題により、認証情報が漏洩する可能性があります。（bsc#1083232）バージョン2.40.20に更新します：

  + 緊急の場合を除いて、これがlibrsvg-2.40.xシリーズの最新リリースになります。現在は、2.40シリーズを大幅に改善した2.41に移行中です。API/ABIは変更されていないため、ソースとバイナリをlibrsvg-2.41.xにアップグレードすることを強くお勧めします。

  + bgo#761175 - マスクとクリップで描画中のノードを再利用できます。

  + ペイントサーバー用のUNCパスを含むリモートファイルをロードするかどうかを判断する際に、ファイルシステムにアクセスしません（つまり、ロードを一切試みません）。

  + Vistual Studio：イントロスペクションデータがVisual Studioプロジェクトから直接ビルドされるように、イントロスペクションビルドを修正して統合しました（Chun-wei Fan）。

  + Vistual Studio：現在は、x64ビルドでHIGHENTROPYVAリンカーオプションを使用して、ビルドしたバイナリのセキュリティを強化しています（Chun-wei Fan）。

  + 読み取り専用のソースディレクトリでコンパイルする場合のValaバインディングの生成を修正します（Emmanuele Bassi）。バージョン 2.40.19 に更新してください：

  + bgo#621088：クリッピングパスとしてのテキストオブジェクトの使用がサポートされるようになりました。

  + bgo#587721：変換に伴うテキスト要素のレンダリングを修正します（Massimo）。

  + bgo#777833 - RsvgHandleが閉じる前に破棄されたときのメモリリークを修正します（Philip Withnall）。

  + bgo#782098 - 廃止されたオプションをgtk-docに渡さないようにします（Ting-Wei Lan）。

  + bgo#786372 - <style>要素の「type」属性のデフォルトを修正します。

  + bgo#785276 - シングルバイトのファイルでクラッシュしないようにします。

  + bgo#634514：不明な要素とそのサブ要素をレンダリングしないようにします。

  + bgo#777155 - 寸法が0に近いパターンを無視します。

  + bgo#634324 - 負のスケーリングによるガウスぼかしを修正します。

  + まったく機能していなかった<switch>要素を修正します。

  + rsvg_handle_write()が一度に1バイトずつ呼び出される場合のロードを修正します。

  + bgo#787895 - libxml2の不適切な使用を修正します。これに関するアドバイスをくれたNick Wellnhofer氏に感謝の意を表します。

  + マスターブランチからテストスイート装置をバックポートしました（Chun-wei Fan、Federico Mena）。

  + 現在は、Pango 1.38.0以降（2015年にリリース）が必要です。

  + 現在は、libxml2 2.9.0以降（2012年にリリース）が必要です。

</style>

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

librsvgレンダラーライブラリに入力検証の脆弱性があるため、特別に細工されたファイルを介してリモートの攻撃者にデータが漏洩される可能性があることがわかりました。

Debian 7「Wheezy」では、これらの問題はバージョン2.36.1-2+deb7u3で修正されました。

librsvg パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

發現 librsvg 轉譯程式庫中存在輸入驗證弱點，造成遠端攻擊者可透過特製檔案取得洩漏的資料。針對 Debian 7「Wheezy」，此問題已在 librsvg 2.36.1-2+deb7u3 版本中修正。建議您升級 librsvg 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
106779	Debian DLA-1278-1 : librsvg security update	Nessus	Debian Local Security Checks	2018/2/13	2025/10/29	high
109859	SUSE SLED12 / SLES12 Security Update : librsvg (SUSE-SU-2018:1288-1)	Nessus	SuSE Local Security Checks	2018/5/16	2024/10/7	high
109879	openSUSEセキュリティ更新プログラム：librsvg（openSUSE-2018-466）	Nessus	SuSE Local Security Checks	2018/5/17	2024/10/4	high
109879	openSUSE Security Update : librsvg (openSUSE-2018-466)	Nessus	SuSE Local Security Checks	2018/5/17	2024/10/4	high
106779	Debian DLA-1278-1：librsvg 安全更新	Nessus	Debian Local Security Checks	2018/2/13	2025/10/29	high
109859	SUSE SLED12 / SLES12セキュリティ更新プログラム：librsvg（SUSE-SU-2018:1288-1）	Nessus	SuSE Local Security Checks	2018/5/16	2024/10/7	high
106779	Debian DLA-1278-1: librsvg セキュリティ更新	Nessus	Debian Local Security Checks	2018/2/13	2025/10/29	high
106779	Debian DLA-1278-1：librsvg 安全性更新	Nessus	Debian Local Security Checks	2018/2/13	2025/10/29	high

检测

插件搜索

high

high

high

high

high

high

high

high