עדכון GraphicsMagick 1.3.32 עם פגיעויות מתוקנות

שהוגש על ידי מהדורה חדשה של חבילה לעיבוד תמונה והמרה
GraphicsMagick 1.3.32, אשר מבטל 52 פגיעויות פוטנציאליות שזוהו במהלך בדיקות מטושטשות על ידי הפרויקט OSS-Fuzz.

בסך הכל, מאז פברואר 2018, OSS-Fuzz זיהתה 343 בעיות, מתוכן 331 כבר תוקנו ב-GraphicsMagick (עבור 12 הנותרים, תקופת התיקון של 90 יום טרם פג). לְחוּד
מְפוּרסָםש-OSS-Fuzz משמש גם לבדיקת פרויקט קשור ImageMagick, שבהן נותרו כיום יותר מ-100 בעיות לא פתורות, מידע עליהן כבר זמין לציבור לאחר תום מועד התיקון.

בנוסף לבעיות פוטנציאליות שזוהו על ידי פרויקט OSS-Fuzz, GraphicsMagick 1.3.32 מטפל גם ב-14 פגיעויות של הצפת מאגר בעת עיבוד תמונות בסגנון מיוחד ב-SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF ו-XWD. שיפורים שאינם אבטחה כוללים תמיכה מורחבת ב-WebP ויכולת להקליט תמונות בפורמט ברייל לצפייה על ידי עיוורים.

כמו כן צוין ההסרה מ-GraphicsMagick 1.3.32 של תכונה שיכולה לשמש כדי לגרום לדליפת נתונים. הבעיה נוגעת לטיפול בסימון "@filename" עבור פורמטים SVG ו-WMF, המאפשר להציג טקסט שקיים בקובץ שצוין על גבי התמונה או לכלול במטא נתונים. פוטנציאלי, אם ליישומי אינטרנט אין אימות מתאים של פרמטרי קלט, תוקפים יכולים להשתמש בתכונה זו כדי להשיג את תוכן הקבצים מהשרת, למשל, מפתחות גישה וסיסמאות שמורות. הבעיה מופיעה גם ב-ImageMagick.

מקור: OpenNet.ru