GraphicsMagick 1.3.32 värskendus, mis kõrvaldab haavatavused

Esitletud uus versioon pilditöötluse ja -muundamise paketist
GraphicsMagick 1.3.32, milles on kõrvaldatud 52 potentsiaalset haavatavust, tuvastatud fuzzing-testide käigus projekti OSS-Fuzz.

Kokku on alates 2018. aasta veebruarist OSS-Fuzzi abil tuvastatud 343 probleemi, millest 331 on juba GraphicsMagickis kõrvaldatud (12 puhul ei ole 90-päevane parandamise tähtaeg veel lõppenud). Eraldi
märgitakse, et OSS-Fuzzi kasutatakse ka seotud projekti testimiseks ImageMagick, milles on praegu rohkem kui 100 lahendamata probleemi, mille kohta teave on juba avalikult kergesti kättesaadav pärast parandamise aja möödumist.

Lisaks OSS-Fuzzi tuvastatud potentsiaalsetele probleemidele on GraphicsMagick 1.3.32-s kõrvaldatud ka 14 haavatavust, mis võivad põhjustada puhverülevoolu spetsiaalselt koostatud piltide töötlemisel formaatides SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF ja XWD. Mitteohututelt täiustustelt on välja toodud WebP toe laienemine ja võimalus salvestada pilte Braille'i formaadis nägemispuudega isikute vaatamiseks.

Samuti on ära toodud GraphicsMagick 1.3.32-st funktsiooni eemaldamine, mida võiks kasutada andmelekkimise korraldamiseks. Probleem puudutab süntakssi käsitlemise "@failinimi" formaatides SVG ja WMF, võimaldades kuvada pildi kohal või lisada metainformatsiooni tekst, mis on antud failis. Potentsiaalselt, kui web-rakendustes ei toimu sisendparameetrite nõuetekohast kontrolli, saavad ründajad kasutada seda funktsiooni, et pääseda serverist failide sisule, näiteks juurdepääsuvõtmetele ja salvestatud paroolidele. Probleem esineb ka ImageMagickis.

Allikas: opennet.ru