Új kiadás a képfeldolgozó és -konvertáló csomagból
, amelyben 52 lehetséges sebezhetőséget javítottak ki, melyeket a fuzzing tesztelés során észleltek a .
. 2018 februárja óta összesen 343 probléma került előtérbe az OSS-Fuzz segítségével, amelyek közül 331 már el lett hárítva a GraphicsMagickban (a fennmaradó 12 esetre eddig nem járt le a 90 napos határidő, amelyet a javításra szántak). Külön érdemes megemlíteni
, hogy az OSS-Fuzz a kapcsolódó projekt ellenőrzésére is használatos, , amelyben jelenleg több mint 100 megoldatlan probléma maradt, amelyek információi már nyilvánosan elérhetőek a javítási időszak lejárta után.
A potenciális problémák mellett, amelyeket az OSS-Fuzz projekt azonosított, a GraphicsMagick 1.3.32-ben 14 sebezhetőséget is kijavítottak, amelyek puffertúlcsorduláshoz vezethetnek, ha kifejezetten formázott képeket dolgoznak fel SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF és XWD formátumokban. A biztonsággal nem kapcsolatos fejlesztések között említést nyer a WebP támogatásának kiterjesztése és a Braille formátumban készült képek mentésének lehetősége a látássérültek számára.
Továbbá megemlítik, hogy a GraphicsMagick 1.3.32-ből eltávolították azt a lehetőséget, amelyet adatlopásra lehetett használni. A probléma kapcsolódik az SVG és WMF formátumokban található "@fájlnév" jelölés feldolgozásához, amely lehetővé teszi, hogy szöveget jelenítsenek meg a képen vagy belefoglaljanak azt a metadatokba, amely a megadott fájlban található. Potenciálisan a webalkalmazások bemeneti paramétereinek megfelelő ellenőrzése nélkül a támadók kihasználhatják ezt a funkciót a szerver fájltartalmának, például hozzáférési kulcsok és mentett jelszavak megszerzésére. A probléma az ImageMagickban is megjelenik.
Forrás: opennet.ru
