neue Version des Pakets zur Bildbearbeitung und -konvertierung
, in der 52 potenzielle Sicherheitsanfälligkeiten, die bei Fuzzing-Tests durch das Projekt .
entdeckt wurden, behoben wurden. Insgesamt wurden seit Februar 2018 durch OSS-Fuzz 343 Probleme identifiziert, von denen 331 bereits in GraphicsMagick behoben wurden (für die verbleibenden 12 ist der 90-tägige Zeitraum zur Behebung noch nicht abgelaufen). Darüber hinaus
, dass OSS-Fuzz auch zur Überprüfung eines angrenzenden Projekts verwendet wird , das derzeit mehr als 100 noch nicht behobene Probleme aufweist, deren Informationen bereits öffentlich zugänglich sind, nachdem die Frist zur Behebung abgelaufen ist.
Neben den potenziellen Problemen, die durch das OSS-Fuzz-Projekt entdeckt wurden, wurden in GraphicsMagick 1.3.32 auch 14 Sicherheitsanfälligkeiten behoben, die zu einem Buffer Overflow bei der Verarbeitung speziell gestalteter Bilder in den Formaten SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF und XWD führen können. Zu den nicht sicherheitsrelevanten Verbesserungen gehört die erweiterte Unterstützung für WebP und die Möglichkeit, Bilder im Braille-Format zum Lesen durch Blinde zu speichern.
Es wird auch berichtet, dass die Möglichkeit entfernt wurde, die in GraphicsMagick 1.3.32 für die Datenleckage genutzt werden kann. Das Problem betrifft die Verarbeitung der Notation „@dateiname“ für die Formate SVG und WMF, die es ermöglicht, Text, der in der angegebenen Datei vorhanden ist, über das Bild oder in den Metadaten einzufügen. Potenziell können Angreifer bei fehlender Überprüfung der Eingabeparameter in Webanwendungen diese Funktion nutzen, um Inhalte aus Dateien auf dem Server zu extrahieren, z. B. Zugangsschlüssel und gespeicherte Passwörter. Das Problem tritt auch bei ImageMagick auf.
Quelle: opennet.ru
