【活用ガイド】

JVNDB-2012-001496

libpng における整数オーバーフローの脆弱性

概要

libpng には、整数オーバーフローの脆弱性が存在します。
CVSS による深刻度 (CVSS とは?)

CVSS v2 による深刻度
基本値: 6.8 (警告) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
影響を受けるシステム


Google
  • Google Chrome 17.0.963.56 未満
IBM
  • IBM Cognos Business Intelligence 10.1 の IF2 未満
  • IBM Cognos Business Intelligence 10.1.1 の IF2 未満
  • IBM Cognos Business Intelligence 10.2 の IF1 未満
  • IBM Cognos Business Intelligence 8.4.1 の IF1 未満
  • IBM Notes 8.5.3 FP4 未満の 8.5.x
Mozilla Foundation
  • Mozilla Firefox 10.0.2 未満の 10.x
  • Mozilla Firefox 3.6.27 未満
  • Mozilla Firefox ESR 10.0.2 未満の 10.x
  • Mozilla SeaMonkey 2.7.2 未満
  • Mozilla Thunderbird 10.0.2 未満の 10.x
  • Mozilla Thunderbird 3.1.19 未満
  • Mozilla Thunderbird ESR 10.0.2 未満の 10.x
アップル
  • Apple TV 5.1 未満 (第 2 世代以降)
  • Apple Mac OS X v10.6.8
  • Apple Mac OS X v10.7 から v10.7.4
  • Apple Mac OS X Server v10.6.8
  • Apple Mac OS X Server v10.7 から v10.7.4
  • iOS 6 未満 (iPhone 3GS 以降)
  • iOS 6 未満 (iPod touch 第 4 世代以降)
  • iOS 6 未満 (iPad 2 以降)
フェンリル株式会社
  • PictBear 2.04 未満
レッドハット
  • libpng
日本電気
  • InfoFrame DocumentSkipper V4.1
  • InfoFrame DocumentSkipper V5.1
  • InfoFrame ImagingCore V1.1
  • InfoFrame ImagingCore V1.2

上記以外の製品で使用されている libpng も影響を受けます。
詳細については、 libpng および PNG reference library: libpng - [Download] を参照してください。
日本電気 InfoFrame DocumentSkipper および InfoFrame ImagingCore の上記のバージョンに同梱されている libpng-1.2系が影響を受けます。詳しくは、NEC製品セキュリティ情報 (NV12-009) をご確認ください。
想定される影響

第三者により、サービス運用妨害 (DoS) 状態にされる、またはその他の詳細不明な影響を受ける可能性があります。
対策

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
ベンダ情報

Google IBM
  • IBM Support Document : 1626697
  • IBM Support Document : 4034373
  • IBM セキュリティー情報 : 1632104
Mozilla Foundation
  • Mozilla Foundation Security Advisory : MFSA2012-11
  • Mozilla Foundation セキュリティアドバイザリ : MFSA2012-11
アップル
  • Apple Security Updates : HT5501
  • Apple Security Updates : HT5503
  • Apple Security Updates : HT5504
  • Apple セキュリティアップデート : HT5501
  • Apple セキュリティアップデート : HT5503
  • Apple セキュリティアップデート : HT5504
オラクル フェンリル株式会社 レッドハット 日本電気
  • NEC製品セキュリティ情報 : NV12-009
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 整数オーバーフローまたはラップアラウンド(CWE-190) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2011-3026
参考情報

  1. JVN : JVNVU#523889
  2. JVN : JVNVU#381963
  3. JVN : JVNVU#624491
  4. National Vulnerability Database (NVD) : CVE-2011-3026
  5. US-CERT Vulnerability Note : VU#523889
更新履歴

  • [2012年02月20日]
      掲載
    [2012年02月27日]
      タイトル：内容を修正
      概要：内容を修正 
      影響を受けるシステム：レッドハット (RHSA-2012:0317) の情報を追加
      ベンダ情報：レッドハット (RHSA-2012:0317) を追加
    [2012年02月28日]
      影響を受けるシステム：フェンリル (PictBear 2.04) の情報を追加
      ベンダ情報：フェンリル (PictBear 2.04) を追加
    [2012年08月09日]
      ベンダ情報：オラクル (Multiple vulnerabilities in libpng) を追加
    [2012年10月01日]
      影響を受けるシステム：日本電気 (NV12-009) の情報を追加
      ベンダ情報：日本電気 (NV12-009) を追加
    [2012年10月16日]
      影響を受けるシステム：アップル (HT5501) の情報を追加
      影響を受けるシステム：アップル (HT5503) の情報を追加
      ベンダ情報：アップル (HT5501) を追加
      ベンダ情報：アップル (HT5503) を追加
    [2012年12月28日]
      影響を受けるシステム：Mozilla Foundation (MFSA2012-11) の情報を追加
      ベンダ情報：Mozilla Foundation (MFSA2012-11) を追加
    [2013年01月31]
      影響を受けるシステム：アップル (HT5504) の情報を追加
      ベンダ情報：アップル (HT5504) を追加
    [2013年03月08日]
      影響を受けるシステム：IBM (1626697) の情報を追加
      ベンダ情報：IBM (4034373) を追加
    [2013年05月24日]
      ベンダ情報：IBM (1632104) を追加
    [2014年05月30日]
      影響を受けるシステム：内容を更新

公表日2012/02/15
登録日2012/02/20
最終更新日2014/05/30