nouvelle version du paquet de traitement et de conversion d'images
, dans laquelle 52 vulnérabilités potentielles ont été corrigées, découvertes lors de tests de fuzzing par le projet .
Depuis février 2018, OSS-Fuzz a découvert 343 problèmes, dont 331 ont déjà été résolus dans GraphicsMagick (les 12 restants n'ont pas encore atteint le délai de 90 jours pour la correction). En plus
, OSS-Fuzz est également utilisé pour vérifier le projet connexe , qui présente actuellement plus de 100 problèmes non résolus, dont l'information est déjà publiquement disponible après l'expiration du délai de correction.
En plus des problèmes potentiels identifiés par OSS-Fuzz, GraphicsMagick 1.3.32 a également corrigé 14 vulnérabilités qui peuvent entraîner un débordement de tampon lors du traitement d'images spécialement conçues aux formats SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF et XWD. Parmi les améliorations non liées à la sécurité, on note l'extension du support WebP et la possibilité d'enregistrer des images au format Braille pour les utilisateurs malvoyants.
On remarque également la suppression dans GraphicsMagick 1.3.32 d'une fonctionnalité qui pourrait être utilisée pour provoquer une fuite de données. Le problème concerne le traitement de la notation «@nomdefichier» pour les formats SVG et WMF, permettant d'afficher sur l'image ou d'inclure dans les métadonnées du texte présent dans le fichier spécifié. En l'absence d'une vérification adéquate des entrées dans les applications web, les attaquants pourraient exploiter cette fonction pour accéder au contenu des fichiers sur le serveur, comme des clés d'accès et des mots de passe enregistrés. Ce problème se manifeste également dans ImageMagick.
Source : opennet.ru
