思科 Talos 发现 LEADTOOLS 工具包中存在多个漏洞，可能导致远程代码执行

Cisco Talos的安全专家在LEADTOOLS imaging工具箱中发现了四个严重漏洞，黑客可利用这些漏洞在目标系统上执行任意代码。

LEADTOOLS是一个综合的工具包，可以将医疗，多媒体和影像技术应用到台式机，服务器，平板电脑和移动应用程序中。

专家们发现，黑客可能会利用这些漏洞发起DoS攻击，并在易受攻击的系统上执行任意代码。

 Talos在其发布的安全公告中称：“ LEADTOOLS 20的TIF解析功能中存在一个可利用的堆越界写入漏洞。特制的TIF图像可能导致超出堆边界的偏移量，攻击者可以专门制作TIF图像来触发此漏洞。”

第二个漏洞是LEADTOOLS 20的CMP分析功能中存在的可利用的整数下溢问题（CVE-2019-5099）。黑客可以使用特制的CMP映像文件来利用此漏洞。

专家还发现，LEADTOOLS 20的BMP标头解析功能中出现整数溢出问题，有可能导致远程代码执行（CVE-2019-5100）。

Cisco Talos发现的最后一个问题是可利用的堆溢出漏洞（CVE-2019-5125）， 该漏洞产生于LEADTOOLS 20的JPEG2000解析功能中包含的代码，可能导致对堆缓冲区的写越界。

与前两个漏洞相同，黑客将需要特制的BMP和J2K图像文件才能触发漏洞。

LEADTOOLS 20.0.2019.3.15 版本受这些漏洞的影响，这些漏洞的CVSS评分为8.8。这些漏洞在9月10日被发现，并报告给了 LEAD 公司。该公司于几天前通过补丁解决了这些问题。

消息来源：SecurityAffairs， 译者：r4938n，校审：吴烦恼
本文由 HackerNews.cc 翻译整理，封面来源于网络。
转载请注明“转自 HackerNews.cc ” 并附上原文链接