Accusoft ImageGear 修复多个RCE漏洞风险通告
发布时间 2019-12-05漏洞编号和级别
CVE编号：CVE-2019-5083，危险级别：严重，CVSS分值：厂商自评：9.8，官方未评定
CVE编号：CVE-2019-5076，危险级别：严重，CVSS分值：厂商自评：9.8，官方未评定
CVE编号：CVE-2019-5132，危险级别：严重，CVSS分值：厂商自评：9.8，官方未评定
CVE编号：CVE-2019-5133，危险级别：严重，CVSS分值：厂商自评：9.8，官方未评定
影响版本
Accusoft ImageGear 19.3.0版本
漏洞概述
Accusoft ImageGear是美国Accusoft公司的一款用于图像处理的软件开发工具包（SDK）。思科Talos发现Accusoft的文档和图片处理库ImageGear存在多个RCE漏洞。攻击者只需要说服使用易受攻击版本的受害者打开恶意文件即可利用这些漏洞。漏洞信息如下：
CVE-2019-5083：越界写入问题，可通过特殊构造的 TIFF 文件触发远程执行代码，影响 igcore19d.dll TIF_decode_thunderscan函数。
CVE-2019-5076：影响该工具包的 igcore19d.dll PNG 头部解析器。攻击者可使用恶意PNG文件引发界外写入并远程执行代码。
CVE-2019-5132：存在于 ImageGear 的igcore19d.dll GEM Raster 解析器中，要求特殊构造的 GEM 文件在受影响系统执行代码。
CVE-2019-5133：影响该库的 igcore19d.dll BMP 解析器。定制化的 BMP 文件可触发界外写入，从而执行代码。
漏洞验证
暂无POC/EXP。
修复建议
目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：https://www.accusoft.com。
参考链接
https://blog.talosintelligence.com/2019/12/vulnerability-spotlight-accusoft-PNG-dec-19.html
京公网安备11010802024551号