ग्राफ़िक्समैजिक 1.3.32 अपडेट, कमजोरियों को ठीक किया गया

द्वारा प्रस्तुत छवि प्रसंस्करण और रूपांतरण के लिए एक पैकेज की नई रिलीज
ग्राफ़िक्समैजिक 1.3.32, जो परियोजना द्वारा फ़ज़िंग परीक्षण के दौरान पहचानी गई 52 संभावित कमजोरियों को समाप्त करता है ओएसएस-Fuzz.

कुल मिलाकर, फरवरी 2018 से, ओएसएस-फ़ज़ ने 343 समस्याओं की पहचान की है, जिनमें से 331 को ग्राफ़िक्समैजिक में पहले ही ठीक कर दिया गया है (शेष 12 के लिए, 90-दिन की फिक्स अवधि अभी तक समाप्त नहीं हुई है)। अलग से
मशहूरओएसएस-फ़ज़ का उपयोग संबंधित प्रोजेक्ट की जाँच के लिए भी किया जाता है ImageMagickजिसमें वर्तमान में 100 से अधिक समस्याएं अनसुलझी हैं, जिनके बारे में जानकारी सुधार का समय समाप्त होने के बाद पहले से ही सार्वजनिक रूप से उपलब्ध है।

ओएसएस-फ़ज़ प्रोजेक्ट द्वारा पहचाने गए संभावित मुद्दों के अलावा, ग्राफिक्समैजिक 1.3.32 एसवीजी, बीएमपी, डीआईबी, एमआईएफएफ, एमएटी, एमएनजी, टीजीए में विशेष स्टाइल वाली छवियों को संसाधित करते समय 14 बफर ओवरफ्लो कमजोरियों को भी संबोधित करता है।
टीआईएफएफ, डब्लूएमएफ और एक्सडब्ल्यूडी। गैर-सुरक्षा सुधारों में वेबपी के लिए विस्तारित समर्थन और नेत्रहीनों द्वारा देखने के लिए ब्रेल प्रारूप में छवियों को रिकॉर्ड करने की क्षमता शामिल है।

यह भी नोट किया गया है कि ग्राफ़िक्समैजिक 1.3.32 से एक ऐसी सुविधा को हटाया जा रहा है जिसका उपयोग डेटा लीक का कारण बनने के लिए किया जा सकता है। समस्या एसवीजी और डब्लूएमएफ प्रारूपों के लिए "@फ़ाइल नाम" नोटेशन के प्रबंधन से संबंधित है, जो निर्दिष्ट फ़ाइल में मौजूद पाठ को छवि के शीर्ष पर प्रदर्शित करने या मेटाडेटा में शामिल करने की अनुमति देता है। संभावित रूप से, यदि वेब एप्लिकेशन के पास इनपुट मापदंडों का उचित सत्यापन नहीं है, तो हमलावर सर्वर से फ़ाइलों की सामग्री प्राप्त करने के लिए इस सुविधा का उपयोग कर सकते हैं, उदाहरण के लिए, एक्सेस कुंजी और सहेजे गए पासवर्ड। समस्या ImageMagick में भी दिखाई देती है।

स्रोत: opennet.ru