librsvg SVG图像远程拒绝服务漏洞

CVE编号

CVE-2011-3146

利用情况

暂无

补丁情况

官方补丁

披露时间

2012-09-06

漏洞描述

librsvg库用于快速渲染的SVG文件的屏幕或其他较为传统的文件类型，如JPEG和PNG。处理节点过程中存在一个错误，攻击者可以构建特制SVG图像，诱使用户解析，可使得应用程序引用非法内存而崩溃。

解决建议

GNOME librsvg 2.34.1已经修复此漏洞，建议用户下载使用：http://librsvg.sourceforge.net/

参考链接
http://ftp.gnome.org/pub/GNOME/sources/librsvg/2.34/librsvg-2.34.1.news
http://git.gnome.org/browse/librsvg/commit/?id=34c95743ca692ea0e44778e41a7c0a...
http://lists.fedoraproject.org/pipermail/package-announce/2011-September/065730.html
http://lists.fedoraproject.org/pipermail/package-announce/2011-September/065739.html
http://lists.fedoraproject.org/pipermail/package-announce/2011-September/066127.html
http://rhn.redhat.com/errata/RHSA-2011-1289.html
http://secunia.com/advisories/45877
https://bugs.launchpad.net/ubuntu/+source/librsvg/+bug/825497
https://bugzilla.gnome.org/show_bug.cgi?id=658014
https://bugzilla.redhat.com/show_bug.cgi?id=734936

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	gnome	librsvg	*		Up to (including) 2.34.0
	运行在以下环境
	系统	oracle_6	librsvg2	*		Up to (excluding) 2.26.0-5.el6_1.1
	运行在以下环境
	系统	oracle_6	librsvg2-devel	*		Up to (excluding) 2.26.0-5.el6_1.1

阿里云评分 3.3

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID 漏洞类型 NVD-CWE-Other