Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - libheif 是一款 HEIF 和 AVIF 文件格式解码器和编码器。在 1.23.0 以前，包含干净光圈框的构建的 HEIF 或 AVIF 文件在调用 heif_image_handle_get_image_tiling（handle， 1， &tiling） 时可将图像尺寸减少到零，并崩溃或损坏切片结果。
    ImageItem：：get_heif_image_tiling（） 返回已转换的尺寸，process_image_transformations_on_tiling（） 再次应用干净的孔径转换。第二个应用程序将零传递给 Box_clap：：left_rounded（0），其中 image_width减一下溢并构造 Fraction（0xFFFFFFFF， 2）。调试版本到达断言并中止，而发布版本可能返回损坏的裁剪和零宽度切片结果。受影响的实现涵盖 libheif/image-items/image_item.cc、libheif/context.cc 和 libheif/box.cc。此问题已在版本 1.23.1.
    (CVE-2026-62289)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - libheif 是 HEIF 和 AVIF 檔案格式解碼器和編碼器。在 1.23.0 及之前，包含乾淨光圈框的特製 HEIF 或 AVIF 檔案可能會將影像尺寸減少到零，並在呼叫 heif_image_handle_get_image_tiling（handle， 1， &tiling） 時損毀或損毀並排結果。
    ImageItem：：get_heif_image_tiling（） 傳回已轉換的尺寸，而 process_image_transformations_on_tiling（） 再次套用乾淨的光圈轉換。第二個應用程式將零傳遞給 Box_clap：：left_rounded（0），其中 image_width 減一反向溢位並建構 Fraction（0xFFFFFFFF， 2）。偵錯組建會達到判斷提示並中止，而發行組建可能會傳回損毀的裁切和零寬度並排結果。受影響的實作涵蓋 libheif/image-items/image_item.cc、libheif/context.cc 和 libheif/box.cc。此問題已在版本 1.23.1中修正。
    (CVE-2026-62289)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6417 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6417-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 8 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：libheif CVE ID： CVE-2025-68431 CVE-2026-32740 CVE-2026-32741 CVE-2026-32882 CVE-2026-47178 CVE-2026-47247 CVE-2026-47709 CVE-2026-47714 CVE-2026-48029 CVE-2026-49271 CVE-2026-62289 CVE-2026-62292 Debian 錯誤：

    在 libheif（一種 ISO/IEC 23008-12 HEIF 和 AVIF 圖像文件格式解碼器和編碼器）中發現多個安全問題，這可能導致拒絕服務、洩露敏感內存內容，或者在處理格式錯誤的圖像文件時可能執行任意代碼。

    請注意，在未壓縮並排解碼器中的堆積越界寫入修正 CVE-2026-47178中，受影響的格式組合現在會以heif_error_Unsupported_feature拒絕：具有 4：2：0 或 4：2：2 色度子取樣的未壓縮影像，這些影像已並排化，或使用列或圖元交錯。
    Upstream 更正了有問題的算術，但前提是重組了未壓縮的解碼器，而該解碼器在穩定發行版中隨附的版本中不存在。這些設定中的影像將不再解碼。

    對於穩定版 （trixie），這些問題已在 1.19.8-1+deb13u1 版中修正。

    建議您升級 libheif 套件。

    如需有關 libheif 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libheif

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6417 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6417-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 8 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：libheif CVE ID： CVE-2025-68431 CVE-2026-32740 CVE-2026-32741 CVE-2026-32882 CVE-2026-47178 CVE-2026-47247 CVE-2026-47709 CVE-2026-47714 CVE-2026-48029 CVE-2026-49271 CVE-2026-62289 CVE-2026-62292 Debian 缺陷：

    ISO/IEC 23008-12 HEIF 和 AVIF 图像文件格式解码器和编码器 libheif 中发现多个安全问题，如果处理格式错误的图像文件，可导致拒绝服务、敏感内存内容泄露或执行任意代码。

    请注意，在针对未压缩平铺解码器中的堆越界写入的 CVE-2026-47178补丁中，受影响的格式组合现在会遭到heif_error_Unsupported_feature拒绝：具有 4：2：0 或 4：2：2 色度子采样且平铺的未压缩图像，或者使用行或像素交错。
    上游修正了有问题的算术，但仅在对稳定发行版本中不存在的未压缩解码器进行重构之后才会更正。这些配置中的图像将不再解码。

    对于稳定发行版本 （trixie），已在版本 1.19.8-1+deb13u1 中修复这些问题。

    我们建议您升级 libheif 程序包。

    如需了解 libheif 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libheif

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - libheif は、HEIF および AVIF ファイル形式のデコーダーおよびエンコーダーです。1.23.0 以前では、きれいな絞りボックスを含む細工された HEIF または AVIF ファイルにより、heif_image_handle_get_image_tiling(handle, 1, &tiling) が呼び出されたときに、画像の寸法がゼロに減少し、クラッシュしたり、タイリングの結果が破損したりする可能性があります。
    ImageItem::get_heif_image_tiling() はすでに変換された寸法を返し、process_image_transformations_on_tiling() は再びクリーンアパーチャ変換を適用します。2 番目のアプリケーションは、0 を Box_clap::left_rounded(0) に渡します。ここで、image_width マイナス 1 がアンダーフローし、Fraction(0xFFFFFFFF, 2) を構築します。デバッグビルドはアサーションに達して中止しますが、リリースビルドは破損したクロップとゼロ幅のタイリングの結果を返す可能性があります。影響を受ける実装は、libheif/image-items/image_item.cc、libheif/context.cc、libheif/box.ccに及びます。この問題はバージョン 1.23.1 で修正されています。
    (CVE-2026-62289)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21644-1 アドバイザリで言及されています。

    バージョン 1.23.1 (jsc#PED-16355)に更新してください。

    修正されたセキュリティ問題:

    - CVE-2026-62289:ダブルクラップ変換アプリケーションによる Fraction コンストラクターにおける整数アンダーフロー(bsc#1273079)。
    - CVE-2026-62291:一致しない補助アルファ寸法で画像を書き込むときの、非圧縮エンコーダーにおけるヒープ領域外書き込み(bsc#1273080)。
    - CVE-2026-62292:非圧縮 unci タイル範囲スライシングでの領域外読み取り(bsc#1273081)。
    - CVE-2026-62377:「HeifContext::get_track()」の到達可能なアサーションは、有効だが空の HEIF シーケンスファイルで中止します(bsc#1273082)。
    - インターリーブされたビット深度が「<= 8」の RRGGBB 画像の非圧縮エンコーダーにおけるヒープ領域外書き込み(bsc#1273083)。

    libheif に対する変更:

    - バージョン 1.23.1
      - FFmpeg デコーダープラグインは、AV1、VVC、JPEG、および JPEG 2000/HTJ2K デコーディングを取得します。
      - SVT-AV1 エンコーダー:「tune=iq」および「ms-ssim」の新しい調整パラメーター。
      - C++ API:CLLI および MDCV HDR メタデータボックスのゲッター/セッターを追加しました。
      - シーケンスデコーダーが、アルファ補助トラックをメイン画像サイズに拡大縮小するようになりました。
      - マルチチャネル画像に対する pixi ボックスの書き込みを修正。
      - 上位 2 ビットへの TAI「clock_type」フィールドの配置を修正。
      - 空または未設定のプラグインディレクトリはスキャンされなくなりました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3597-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 1.23.1 (jsc#PED-16355)に更新してください。

    修正されたセキュリティ問題:

    - CVE-2026-62289:ダブルクラップ変換アプリケーションによる Fraction コンストラクターにおける整数アンダーフロー(bsc#1273079)。
    - CVE-2026-62291:一致しない補助アルファ寸法で画像を書き込むときの、非圧縮エンコーダーにおけるヒープ領域外書き込み(bsc#1273080)。
    - CVE-2026-62292:非圧縮 unci タイル範囲スライシングでの領域外読み取り(bsc#1273081)。
    - CVE-2026-62377:「HeifContext::get_track()」の到達可能なアサーションは、有効だが空の HEIF シーケンスファイルで中止します(bsc#1273082)。
    - インターリーブされたビット深度が「<= 8」の RRGGBB 画像の非圧縮エンコーダーにおけるヒープ領域外書き込み(bsc#1273083)。

    libheif に対する変更:

    - バージョン 1.23.1
      - FFmpeg デコーダープラグインは、AV1、VVC、JPEG、および JPEG 2000/HTJ2K デコーディングを取得します。
      - SVT-AV1 エンコーダー:「tune=iq」および「ms-ssim」の新しい調整パラメーター。
      - C++ API:CLLI および MDCV HDR メタデータボックスのゲッター/セッターを追加しました。
      - シーケンスデコーダーが、アルファ補助トラックをメイン画像サイズに拡大縮小するようになりました。
      - マルチチャネル画像に対する pixi ボックスの書き込みを修正。
      - 上位 2 ビットへの TAI「clock_type」フィールドの配置を修正。
      - 空または未設定のプラグインディレクトリはスキャンされなくなりました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 13ホストには、dsa-6417アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debianセキュリティアドバイザリ DSA-6417-1 security@debian.org https://www.debian.org/security/Aron Xu 2026年8月8日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:libheif CVE ID: CVE-2025-68431 CVE-2026-32740 CVE-2026-32741 CVE-2026-32882 CVE-2026-47178 CVE-2026-47247 CVE-2026-47709 CVE-2026-47714 CVE-2026-48029 CVE-2026-49271 CVE-2026-62289 CVE-2026-62292 Debian バグ:

    ISO/IEC 23008-12 HEIF および AVIF のイメージファイル形式のデコーダーおよびエンコーダーである libheif に複数のセキュリティ問題が発見されました。これにより、サービス拒否、機密メモリコンテンツの漏洩、または無効な形式の画像ファイルが処理されると任意のコードの実行につながる可能性があります。

    注意:非圧縮タイルデコーダーのヒープ領域外書き込みである CVE-2026-47178 の修正で、影響を受けるフォーマットの組み合わせは、heif_error_Unsupported_featureで拒否されるようになりました:並べて表示される、あるいは行またはピクセルのインターリーブを使用する 4:2:0 または 4:2:2 クロマサブサンプリングのある非圧縮画像。
    Upstream は、問題のある算術演算を修正しましたが、それは、安定版(stable)ディストリビューションに付属のバージョンには存在しない、非圧縮デコーダーの再構成の後だけで修正されました。これらの設定の画像はデコードされなくなります。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 1.19.8-1+deb13u1 で修正されています。

    お使いの libheif のパッケージをアップグレードすることを推奨します。

    libheif の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/libheif

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - libheif is a HEIF and AVIF file format decoder and encoder. In 1.23.0 and earlier, a crafted HEIF or AVIF     file containing a clean aperture box can reduce an image dimension to zero and crash or corrupt tiling     results when heif_image_handle_get_image_tiling(handle, 1, &tiling) is called.
    ImageItem::get_heif_image_tiling() returns already transformed dimensions, and     process_image_transformations_on_tiling() applies the clean aperture transformation again. The second     application passes zero to Box_clap::left_rounded(0), where image_width minus one underflows and     constructs Fraction(0xFFFFFFFF, 2). Debug builds reach an assertion and abort, while release builds can     return a corrupt crop and zero-width tiling result. The affected implementation spans libheif/image-     items/image_item.cc, libheif/context.cc, and libheif/box.cc. This issue is fixed in version 1.23.1.
    (CVE-2026-62289)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21644-1 advisory.

    Update to version 1.23.1 (jsc#PED-16355).

    Security issues fixed:

    - CVE-2026-62289: integer underflow in Fraction constructor via double clap transform application     (bsc#1273079).
    - CVE-2026-62291: heap out-of-bounds write in the uncompressed encoder when writing images with mismatched     auxiliary       alpha dimensions (bsc#1273080).
    - CVE-2026-62292: out-of-bounds read in uncompressed unci tile range slicing (bsc#1273081).
    - CVE-2026-62377: reachable assertion in `HeifContext::get_track()` aborts on a valid-but-empty HEIF     sequence file       (bsc#1273082).
    - Heap out-of-bounds write in the uncompressed encoder for RRGGBB images with interleaved bit-depth `<= 8`       (bsc#1273083).

    Changes for libheif:

    - Version 1.23.1
      - FFmpeg decoder plugin gains AV1, VVC, JPEG, and JPEG 2000/HTJ2K decoding.
      - SVT-AV1 encoder: new `tune=iq` and `ms-ssim` tune parameters.
      - C++ API: added getters/setters for the CLLI and MDCV HDR metadata boxes.
      - Sequence decoder now scales the alpha auxiliary track to the main image size.
      - Fixed pixi box writing for multi-channel images.
      - Corrected the placement of the TAI `clock_type` field into the top 2 bits.
      - Empty/unset plugin directory is no longer scanned.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 13 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-6417 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-6417-1                   security@debian.org     https://www.debian.org/security/                                  Aron Xu     August 08, 2026                       https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : libheif     CVE ID         : CVE-2025-68431 CVE-2026-32740 CVE-2026-32741 CVE-2026-32882                      CVE-2026-47178 CVE-2026-47247 CVE-2026-47709 CVE-2026-47714                      CVE-2026-48029 CVE-2026-49271 CVE-2026-62289 CVE-2026-62292     Debian Bug     :

    Multiple security issues were discovered in libheif, an ISO/IEC 23008-12     HEIF and AVIF image file format decoder and encoder, which may result in     denial of service, the disclosure of sensitive memory contents or,     potentially, the execution of arbitrary code if a malformed image file is     processed.

    Note that in the fix for CVE-2026-47178, a heap out-of-bounds write in the     uncompressed tile decoder, the affected format combinations are now rejected     with heif_error_Unsupported_feature: uncompressed images with 4:2:0 or 4:2:2     chroma subsampling that are tiled, or that use row or pixel interleave.
    Upstream corrected the offending arithmetic, but only after a restructuring     of the uncompressed decoder that is not present in the version shipped in     the stable distribution. Images in these configurations will no longer     decode.

    For the stable distribution (trixie), these problems have been fixed in     version 1.19.8-1+deb13u1.

    We recommend that you upgrade your libheif packages.

    For the detailed security status of libheif please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/libheif

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3597-1 advisory.

    Update to version 1.23.1 (jsc#PED-16355).

    Security issues fixed:

    - CVE-2026-62289: integer underflow in Fraction constructor via double clap transform application     (bsc#1273079).
    - CVE-2026-62291: heap out-of-bounds write in the uncompressed encoder when writing images with mismatched     auxiliary       alpha dimensions (bsc#1273080).
    - CVE-2026-62292: out-of-bounds read in uncompressed unci tile range slicing (bsc#1273081).
    - CVE-2026-62377: reachable assertion in `HeifContext::get_track()` aborts on a valid-but-empty HEIF     sequence file       (bsc#1273082).
    - Heap out-of-bounds write in the uncompressed encoder for RRGGBB images with interleaved bit-depth `<= 8`       (bsc#1273083).

    Changes for libheif:

    - Version 1.23.1
      - FFmpeg decoder plugin gains AV1, VVC, JPEG, and JPEG 2000/HTJ2K decoding.
      - SVT-AV1 encoder: new `tune=iq` and `ms-ssim` tune parameters.
      - C++ API: added getters/setters for the CLLI and MDCV HDR metadata boxes.
      - Sequence decoder now scales the alpha auxiliary track to the main image size.
      - Fixed pixi box writing for multi-channel images.
      - Corrected the placement of the TAI `clock_type` field into the top 2 bits.
      - Empty/unset plugin directory is no longer scanned.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
333375	Linux Distros 未修补的漏洞：CVE-2026-62289	Nessus	Misc.	2026/8/7	2026/8/21	medium
333375	Linux Distros 未修補弱點：CVE-2026-62289	Nessus	Misc.	2026/8/7	2026/8/21	medium
333527	Debian dsa-6417 ： heif-gdk-pixbuf - 安全性更新	Nessus	Debian Local Security Checks	2026/8/8	2026/8/21	high
333527	Debian dsa-6417：heif-gdk-pixbuf - 安全更新	Nessus	Debian Local Security Checks	2026/8/8	2026/8/21	high
333375	Linux Distros のパッチ未適用の脆弱性: CVE-2026-62289	Nessus	Misc.	2026/8/7	2026/8/21	medium
341176	openSUSE 16:gdk-pixbuf-loader-libheif / libheif-aom / libheif-dav1d / etc(openSUSE-SU-2026:21644-1)	Nessus	SuSE Local Security Checks	2026/8/28	2026/8/28	high
335100	SUSE SLED15:gdk-pixbuf-loader-libheif / libheif-aom / libheif-dav1d / など(SUSE-SU-2026:3597-1)	Nessus	SuSE Local Security Checks	2026/8/13	2026/8/21	high
333527	Debian dsa-6417:heif-gdk-pixbuf - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/8	2026/8/21	high
333375	Linux Distros Unpatched Vulnerability : CVE-2026-62289	Nessus	Misc.	2026/8/7	2026/8/21	medium
341176	openSUSE 16: gdk-pixbuf-loader-libheif / libheif-aom / libheif-dav1d / etc (openSUSE-SU-2026:21644-1)	Nessus	SuSE Local Security Checks	2026/8/28	2026/8/28	high
333527	Debian dsa-6417 : heif-gdk-pixbuf - security update	Nessus	Debian Local Security Checks	2026/8/8	2026/8/21	high
335100	SUSE SLED15: gdk-pixbuf-loader-libheif / libheif-aom / libheif-dav1d / etc (SUSE-SU-2026:3597-1)	Nessus	SuSE Local Security Checks	2026/8/13	2026/8/21	high

检测

插件搜索

medium

medium

high

high

medium

high

high

high

medium

high

high

high