ગ્રાફિક્સમેજિક 1.3.32 અપડેટ નબળાઈઓ સાથે

દ્રારા રજુ કરેલ ઇમેજ પ્રોસેસિંગ અને રૂપાંતર માટે પેકેજનું નવું પ્રકાશન
ગ્રાફિક્સ મેજિક 1.3.32, જે પ્રોજેક્ટ દ્વારા ફઝિંગ ટેસ્ટિંગ દરમિયાન ઓળખવામાં આવેલી 52 સંભવિત નબળાઈઓને દૂર કરે છે ઓએસએસ-ફઝ.

કુલ મળીને, ફેબ્રુઆરી 2018 થી, OSS-Fuzz એ 343 સમસ્યાઓ ઓળખી છે, જેમાંથી 331 પહેલાથી જ GraphicsMagick માં ઠીક કરવામાં આવી છે (બાકીના 12 માટે, 90-દિવસનો ફિક્સ સમયગાળો હજી સમાપ્ત થયો નથી). અલગ
ઉજવવામાં આવે છેકે OSS-Fuzz નો ઉપયોગ સંબંધિત પ્રોજેક્ટને તપાસવા માટે પણ થાય છે છબી મૅગિક, જેમાં હાલમાં 100 થી વધુ સમસ્યાઓ વણઉકેલાયેલી રહે છે, જેના વિશેની માહિતી સુધારણા માટેનો સમય સમાપ્ત થયા પછી પહેલેથી જ સાર્વજનિક રૂપે ઉપલબ્ધ છે.

OSS-Fuzz પ્રોજેક્ટ દ્વારા ઓળખવામાં આવેલી સંભવિત સમસ્યાઓ ઉપરાંત, GraphicsMagick 1.3.32 SVG, BMP, DIB, MIFF, MAT, MNG, TGA, માં ખાસ સ્ટાઇલ કરેલી છબીઓ પર પ્રક્રિયા કરતી વખતે 14 બફર ઓવરફ્લો નબળાઈઓને પણ સંબોધિત કરે છે.
TIFF, WMF અને XWD. બિન-સુરક્ષા સુધારણાઓમાં WebP માટે વિસ્તૃત સમર્થન અને અંધ લોકો દ્વારા જોવા માટે બ્રેઇલ ફોર્મેટમાં છબીઓ રેકોર્ડ કરવાની ક્ષમતાનો સમાવેશ થાય છે.

એ પણ નોંધ્યું છે કે GraphicsMagick 1.3.32 માંથી એક સુવિધાને દૂર કરવામાં આવી છે જેનો ઉપયોગ ડેટા લીક થવા માટે થઈ શકે છે. આ મુદ્દો SVG અને WMF ફોર્મેટ માટે “@filename” નોટેશનના હેન્ડલિંગની ચિંતા કરે છે, જે ઉલ્લેખિત ફાઇલમાં હાજર ટેક્સ્ટને ઇમેજની ટોચ પર પ્રદર્શિત કરવાની અથવા મેટાડેટામાં સમાવિષ્ટ કરવાની મંજૂરી આપે છે. સંભવિત રીતે, જો વેબ એપ્લિકેશન્સમાં ઇનપુટ પરિમાણોની યોગ્ય માન્યતા નથી, તો હુમલાખોરો સર્વરમાંથી ફાઇલોની સામગ્રી મેળવવા માટે આ સુવિધાનો ઉપયોગ કરી શકે છે, ઉદાહરણ તરીકે, ઍક્સેસ કી અને સાચવેલા પાસવર્ડ્સ. આ સમસ્યા ImageMagick માં પણ દેખાય છે.

સોર્સ: opennet.ru