nové vydání balíčku pro zpracování a konverzi obrázků
, ve kterém bylo odstraněno 52 potenciálních zranitelností odhalených během fuzzingového testování projektem .
Celkem od února 2018 bylo pomocí OSS-Fuzz odhaleno 343 problémů, z nichž 331 již bylo odstraněno v GraphicsMagick (pro zbývajících 12 dosud neuplynula 90denní lhůta na opravu). Samostatně
, že OSS-Fuzz je také používán k testování příbuzného projektu , ve kterém v současnosti zůstává více než 100 problémů, jejichž informace jsou již veřejně dostupné po uplynutí lhůty na opravu.
Kromě potenciálních problémů odhalených projektem OSS-Fuzz bylo v GraphicsMagick 1.3.32 také odstraněno 14 zranitelností, které mohou vést k přetečení paměti při zpracování speciálně vytvořených obrázků ve formátech SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF a XWD. Mezi nebezpečnostními vylepšeními stojí za zmínku rozšířená podpora WebP a možnost ukládání obrázků ve formátu Braille pro zobrazení nevidomými.
Také bylo odstraněno z GraphicsMagick 1.3.32 funkce, která mohla být využita k úniku dat. Problém se týká zpracování notace „@názevfév6“ pro formáty SVG a WMF, což umožňuje vypsat nad obrázkem nebo zahrnout do metadat text přítomný v uvedeném souboru. Potenciálně v případě nedostatečného ověření vstupních parametrů ve webových aplikacích mohou útočníci tuto funkci využít k získání obsahu souborů ze serveru, například přístupových klíčů a uložených hesel. Problém se také projevuje v ImageMagick.
Zdroj: opennet.ru
