GraphicsMagick 1.3.32 განახლებული ხარვეზებით

Გააცნო სურათის დამუშავებისა და კონვერტაციის პაკეტის ახალი გამოშვება
GraphicsMagick 1.3.32, რომელიც აღმოფხვრის 52 პოტენციურ დაუცველობას, რომლებიც გამოვლენილია პროექტის მიერ ფაზინგის ტესტირების დროს OSS-Fuzz.

საერთო ჯამში, 2018 წლის თებერვლიდან OSS-Fuzz-მა გამოავლინა 343 პრობლემა, საიდანაც 331 უკვე მოგვარებულია GraphicsMagick-ში (დანარჩენი 12-ისთვის, 90-დღიანი გამოსწორების ვადა ჯერ არ გასულა). ცალ-ცალკე
აღნიშნარომ OSS-Fuzz ასევე გამოიყენება დაკავშირებული პროექტის შესამოწმებლად ImageMagick, რომელშიც ამჟამად გადაუჭრელი რჩება 100-ზე მეტი პრობლემა, რომელთა შესახებ ინფორმაცია უკვე საჯაროდ არის ხელმისაწვდომი კორექტირების ვადის ამოწურვის შემდეგ.

OSS-Fuzz-ის მიერ გამოვლენილი პოტენციური პრობლემების გარდა, GraphicsMagick 1.3.32 ასევე აგვარებს ბუფერული გადინების 14 დაუცველობას სპეციალურად სტილის სურათების დამუშავებისას SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF და XWD. არაუსაფრთხოების გაუმჯობესება მოიცავს WebP-ის გაფართოებულ მხარდაჭერას და ბრაილის ფორმატში სურათების ჩაწერის შესაძლებლობას უსინათლოთა სანახავად.

ასევე აღინიშნა GraphicsMagick 1.3.32-დან ისეთი ფუნქციის ამოღება, რომელიც შეიძლება გამოყენებულ იქნას მონაცემთა გაჟონვისთვის. საკითხი ეხება "@filename" აღნიშვნის დამუშავებას SVG და WMF ფორმატებისთვის, რაც საშუალებას აძლევს ტექსტს, რომელიც იმყოფება მითითებულ ფაილში, გამოჩნდეს სურათის თავზე ან ჩართული იყოს მეტამონაცემებში. პოტენციურად, თუ ვებ აპლიკაციებს არ აქვთ შეყვანის პარამეტრების სათანადო ვალიდაცია, თავდამსხმელებს შეუძლიათ გამოიყენონ ეს ფუნქცია სერვერიდან ფაილების შინაარსის მისაღებად, მაგალითად, წვდომის გასაღებები და შენახული პაროლები. პრობლემა ასევე გამოჩნდება ImageMagick-ში.

წყარო: opennet.ru