思科Talos发现LEADTOOLS工具包中存在多个漏洞，可能导致远程代码执行

Cisco Talos的安全专家在LEADTOOLS imaging工具箱中发现了四个严重漏洞，黑客可利用这些漏洞在目标系统上执行任意代码。

　　LEADTOOLS是一个综合的工具包，可以将医疗，多媒体和影像技术应用到台式机，服务器，平板电脑和移动应用程序中。



　　专家们发现，黑客可能会利用这些漏洞发起DoS攻击，并在易受攻击的系统上执行任意代码。

　　Talos在其发布的安全公告中称：“ LEADTOOLS 20的TIF解析功能中存在一个可利用的堆越界写入漏洞。特制的TIF图像可能导致超出堆边界的偏移量，攻击者可以专门制作TIF图像来触发此漏洞。”

　　第二个漏洞是LEADTOOLS 20的CMP分析功能中存在的可利用的整数下溢问题(CVE-2019-5099)。黑客可以使用特制的CMP映像文件来利用此漏洞。

　　专家还发现，LEADTOOLS 20的BMP标头解析功能中出现整数溢出问题，有可能导致远程代码执行(CVE-2019-5100)。

　　Cisco Talos发现的最后一个问题是可利用的堆溢出漏洞(CVE-2019-5125)， 该漏洞产生于LEADTOOLS 20的JPEG2000解析功能中包含的代码，可能导致对堆缓冲区的写越界。

　　与前两个漏洞相同，黑客将需要特制的BMP和J2K图像文件才能触发漏洞。

　　LEADTOOLS 20.0.2019.3.15 版本受这些漏洞的影响，这些漏洞的CVSS评分为8.8。这些漏洞在9月10日被发现，并报告给了 LEAD 公司。该公司于几天前通过补丁解决了这些问题。