ny udgave af pakke til behandling og konvertering af billeder
, hvor 52 potentielle sårbarheder, der blev identificeret under fuzzing-testning af projektet, er blevet udbedret .
I alt er der siden februar 2018 blevet identificeret 343 problemer ved hjælp af OSS-Fuzz, hvoraf 331 allerede er blevet rettet i GraphicsMagick (de resterende 12 har endnu ikke overskredet den 90-dages frist til reparation). Separat
, at OSS-Fuzz også bruges til at teste det relaterede projekt , som i øjeblikket har over 100 problemer, der stadig ikke er løst, og information om disse er allerede offentlig tilgængelig efter udløb af den aftalte reparationstid.
Udover de potentielle problemer identificeret af OSS-Fuzz, er der også blevet udbedret 14 sårbarheder i GraphicsMagick 1.3.32, som kan føre til buffer-overløb ved behandling af specielt udformede billeder i formaterne SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF og XWD. Af ikke-sikkerhedsrelaterede forbedringer kan nævnes udvidelsen af WebP-understøttelse og muligheden for at gemme billeder i Braille-format til synshandicappede.
Det bemærkes også, at muligheden for at forårsage datalækage er blevet fjernet fra GraphicsMagick 1.3.32. Problemet vedrører behandlingen af notationen «@filnavn» for formaterne SVG og WMF, som gør det muligt at vise tekst fra den angivne fil over billedet eller inkludere den i metadata. Potentielt kan angribere i mangel af passende indgangsvalidering i webapplikationer udnytte denne funktion til at få adgang til indholdet af filer på serveren, som for eksempel adgangsnøgler og gemte adgangskoder. Problemet viser sig også i ImageMagick.
Kilde: opennet.ru
