Jhead 缓冲区错误漏洞

CVE编号

CVE-2020-26208

利用情况

暂无

补丁情况

官方补丁

披露时间

2022-02-02

漏洞描述

Jhead是一款用于修改JPEG文件信息的工具。
JHEAD 中存在缓冲区错误漏洞，该漏洞源于的jpgfile.c：285 ReadJpegSections函数在处理JPEG图片时未能正确处理内存边界。攻击者可通过该漏洞导致程序崩溃或可能不正确的exif信息检索。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/F-ZhaoYang/jhead/security/advisories/GHSA-7pr6-xq4f-qhgc

参考链接
https://bugs.launchpad.net/ubuntu/+source/jhead/+bug/1900821
https://github.com/F-ZhaoYang/jhead/commit/5186ddcf9e35a7aa0ff0539489a930434a1325f4
https://github.com/F-ZhaoYang/jhead/security/advisories/GHSA-7pr6-xq4f-qhgc
https://github.com/Matthias-Wandel/jhead/issues/7

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	jhead_project	jhead	*		Up to (excluding) 3.04
	运行在以下环境
	系统	debian_10	jhead	*		Up to (excluding) 3.00-8
	运行在以下环境
	系统	debian_9	jhead	*		Up to (excluding) 3.00-4+deb9u1

阿里云评分 5.6

• 攻击路径 本地
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 全局影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID 漏洞类型 CWE-787 跨界内存写