CVE-2019-6977— GD Graphics Library 缓冲区错误漏洞

一分钟漏洞结论

复制摘要 复制引用

影响对象

n/a n/a

利用判断

利用概率较高，应尽快评估

建议动作

优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

GD Graphics Library（libgd或libgd2）是美国Thomas Boutell软件开发者的一个开源的用于动态创建图像的库。该产品支持创建图表、图形和缩略图等。 GD Graphics Library 2.2.5版本中的gd_color_match.c文件的‘gdImageColorMatch’函数存在基于堆的缓冲区溢出漏洞。攻击者可利用该漏洞执行代码或造成拒绝服务。以下产品和版本受到影响：PHP 5.6.40之前的版本，7.1.26之前的7.x版本，7.2.14之前的7.2.x版本，

CVE-2019-6977 影响 n/a n/a。利用概率较高，应尽快评估。GD Graphics Library（libgd或libgd2）是美国Thomas Boutell软件开发者的一个开源的用于动态创建图像的库。该产品支持创建图表、图形和缩略图等。 GD Graphics Library 2.2.5版本中的gd_color_match.c文件的‘gdImageColorMatch’函数存在基于堆的缓冲区溢出漏洞。攻击者可利用 CVE-2019-6977 漏洞详情，神龙漏洞库，https://cve.imfht.com/detail/CVE-2019-6977

一、 漏洞 CVE-2019-6977 基础信息

受影响产品

二、漏洞 CVE-2019-6977 的公开POC

三、漏洞 CVE-2019-6977 的情报信息

CVE-2019-6977 厂商安全公告 (7)

• https://security.netapp.com/advisory/ntap-20190315-0003/ x_refsource_CONFIRM
• http://www.securityfocus.com/bid/106731 vdb-entry x_refsource_BID
• https://www.debian.org/security/2019/dsa-4384 vendor-advisory x_refsource_DEBIAN
• 🔗 USN-3900-1: GD vulnerabilities | Ubuntu security notices | Ubuntu 查看完整文章 vendor-advisory x_refsource_UBUNTU
• https://access.redhat.com/errata/RHSA-2019:3299 vendor-advisory x_refsource_REDHAT
• https://security.gentoo.org/glsa/201903-18 vendor-advisory x_refsource_GENTOO
• https://access.redhat.com/errata/RHSA-2019:2519 vendor-advisory x_refsource_REDHAT

CVE-2019-6977 公开利用代码 (2)

• http://packetstormsecurity.com/files/152459/PHP-7.2-imagecolormatch-Out-Of-Band-Heap-Write.html x_refsource_MISC
• https://www.exploit-db.com/exploits/46677/ exploit x_refsource_EXPLOIT-DB

CVE-2019-6977 邮件列表归档 (6)

• http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00025.html vendor-advisory x_refsource_SUSE
• http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00031.html vendor-advisory x_refsource_SUSE
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TEYUUOW75YD3DENIPYMO263E6NL2NFHI/ vendor-advisory x_refsource_FEDORA
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3WRUPZVT2MWFUEMVGTRAGDOBHLNMGK5R/ vendor-advisory x_refsource_FEDORA
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3CZ2QADQTKRHTGB2AHD7J4QQNDLBEMM6/ vendor-advisory x_refsource_FEDORA
• https://lists.debian.org/debian-lts-announce/2019/01/msg00028.html mailing-list x_refsource_MLIST

CVE-2019-6977 其他参考 (3)

• https://bugs.php.net/bug.php?id=77270 x_refsource_MISC
• http://php.net/ChangeLog-7.php x_refsource_MISC
• http://php.net/ChangeLog-5.php x_refsource_MISC

• https://www.cve.org/CVERecord?id=CVE-2019-6977

IV. Related Vulnerabilities

V. Comments for CVE-2019-6977