低危 pngcrush up to 1.7.86 sPLT Chunk Structure png.c 拒绝服务漏洞

CVE编号

CVE-2015-7700

利用情况

暂无

补丁情况

官方补丁

披露时间

2017-09-01

漏洞描述

pngcrush是一套PNG图片压缩工具。该工具支持批量压缩PNG格式的图片。 pngcrush 1.7.87之前的版本中的png.c文件和sPLT chunk结构存在双重释放漏洞。目前没有详细的漏洞细节提供。

解决建议

厂商已发布了漏洞修复程序，请及时关注更新：https://sourceforge.net/p/pmt/news/2015/10/pngcrush-1787-released/

参考链接
http://pmt.sourceforge.net/pngcrush/changelog.html
https://sourceforge.net/p/pmt/news/2015/10/pngcrush-1787-released/

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	pngcrush_project	pngcrush	*		Up to (including) 1.7.86
	运行在以下环境
	系统	amazon_AMI	pngcrush	*		Up to (excluding) 1.7.92-1.11.amzn1
	运行在以下环境
	系统	debian_10	pngcrush	*		Up to (excluding) 1.8.13-0.1
	运行在以下环境
	系统	debian_11	pngcrush	*		Up to (excluding) 1.8.13-0.1
	运行在以下环境
	系统	debian_12	pngcrush	*		Up to (excluding) 1.8.13-0.1
	运行在以下环境
	系统	debian_sid	pngcrush	*		Up to (excluding) 1.8.13-0.1
	运行在以下环境
	系统	opensuse_Leap_42.2	pngcrush	*		Up to (excluding) 1.7.85-8.1
	运行在以下环境
	系统	opensuse_Leap_42.3	pngcrush	*		Up to (excluding) 1.7.85-8.1

阿里云评分 3.1

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID	漏洞类型
CWE-415	双重释放

Exp相关链接

- avd.aliyun.com