Accusoft ImageGear 建复多个RCE缝隙风险公告

颁布功夫 2019-12-05

缝隙编号和级别


CVE编号：CVE-2019-5083，危险级别：严沉，CVSS分值：厂商自评：9.8，官方未评定

CVE编号：CVE-2019-5076，危险级别：严沉，CVSS分值：厂商自评：9.8，官方未评定

CVE编号：CVE-2019-5132，危险级别：严沉，CVSS分值：厂商自评：9.8，官方未评定

CVE编号：CVE-2019-5133，危险级别：严沉，CVSS分值：厂商自评：9.8，官方未评定


影响版本


Accusoft ImageGear 19.3.0版本


缝隙概述


Accusoft ImageGear是美国Accusoft公司的一款用于图像处置的软件开发工具包（SDK） 。思科Talos发现Accusoft的文档和图片处置库ImageGear存在多个RCE缝隙 。攻击者只必要说服使用易受攻击版本的受害者打开恶意文件即可利用这些缝隙 。缝隙信息如下：


CVE-2019-5083：越界写入问题，可通过特殊机关的 TIFF 文件触发远程执行代码，影响 igcore19d.dll TIF_decode_thunderscan函数 。


CVE-2019-5076：影响该工具包的 igcore19d.dll PNG 头部解析器 。攻击者可使用恶意PNG文件引发界表写入并远程执行代码 。


CVE-2019-5132：存在于 ImageGear 的igcore19d.dll GEM Raster 解析器中，要求特殊机关的 GEM 文件在受影响系统执行代码 。


CVE-2019-5133：影响该库的 igcore19d.dll BMP 解析器 。定造化的 BMP 文件可触发界表写入，从而执行代码 。


缝隙验证


暂无POC/EXP 。


建复建议


目前厂商已颁布升级补丁以建复缝隙，详情请关注厂商主页：https://www.accusoft.com 。


参考链接


https://blog.talosintelligence.com/2019/12/vulnerability-spotlight-accusoft-PNG-dec-19.html