GraphicsMagick 1.3.32 អាប់ដេតជាមួយនឹងភាពងាយរងគ្រោះត្រូវបានជួសជុល

ណែនាំ ការចេញផ្សាយថ្មីនៃកញ្ចប់សម្រាប់ដំណើរការ និងបំប្លែងរូបភាព
ក្រាហ្វិកម៉ាហ្គីក 1.3.32ដែលលុបបំបាត់ភាពងាយរងគ្រោះសក្តានុពលចំនួន 52 ដែលត្រូវបានសម្គាល់ក្នុងអំឡុងពេលការធ្វើតេស្ត fuzzing ដោយគម្រោង OSS-Fuzz.

សរុបមក ចាប់តាំងពីខែកុម្ភៈ ឆ្នាំ 2018 OSS-Fuzz បានកំណត់បញ្ហាចំនួន 343 ដែលក្នុងនោះ 331 ត្រូវបានជួសជុលរួចហើយនៅក្នុង GraphicsMagick (សម្រាប់ 12 ដែលនៅសល់រយៈពេលជួសជុល 90 ថ្ងៃមិនទាន់ផុតកំណត់នៅឡើយទេ) ។ ដោយឡែកពីគ្នា។
បានប្រារព្ធពិធីOSS-Fuzz ក៏ត្រូវបានប្រើដើម្បីពិនិត្យមើលគម្រោងដែលពាក់ព័ន្ធផងដែរ។ ImageMagickដែលក្នុងនោះបញ្ហាជាង 100 នាពេលបច្ចុប្បន្ននេះនៅតែមិនទាន់ដោះស្រាយនៅឡើយ ព័ត៌មានអំពីអ្វីដែលអាចរកបានជាសាធារណៈរួចហើយ បន្ទាប់ពីពេលវេលាសម្រាប់ការកែតម្រូវបានផុតកំណត់។

បន្ថែមពីលើបញ្ហាសក្តានុពលដែលត្រូវបានកំណត់អត្តសញ្ញាណដោយគម្រោង OSS-Fuzz នោះ GraphicsMagick 1.3.32 ក៏ដោះស្រាយភាពងាយរងគ្រោះ 14 buffer overflow នៅពេលដំណើរការរូបភាពដែលមានរចនាប័ទ្មពិសេសនៅក្នុង SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF និង XWD ។ ការកែលម្អដែលមិនមែនជាសុវត្ថិភាពរួមមានការពង្រីកការគាំទ្រសម្រាប់ WebP និងសមត្ថភាពក្នុងការថតរូបភាពជាទម្រង់អក្សរ Braille សម្រាប់ការមើលដោយពិការភ្នែក។

បានកត់សម្គាល់ផងដែរគឺការដកចេញពី GraphicsMagick 1.3.32 នៃលក្ខណៈពិសេសដែលអាចត្រូវបានប្រើដើម្បីបណ្តាលឱ្យលេចធ្លាយទិន្នន័យ។ បញ្ហានេះទាក់ទងនឹងការដោះស្រាយការសម្គាល់ “@filename” សម្រាប់ទម្រង់ SVG និង WMF ដែលអនុញ្ញាតឱ្យអត្ថបទដែលមាននៅក្នុងឯកសារដែលបានបញ្ជាក់ត្រូវបានបង្ហាញនៅផ្នែកខាងលើនៃរូបភាព ឬរួមបញ្ចូលក្នុងទិន្នន័យមេតា។ សក្តានុពល ប្រសិនបើកម្មវិធីគេហទំព័រមិនមានសុពលភាពត្រឹមត្រូវនៃប៉ារ៉ាម៉ែត្របញ្ចូល អ្នកវាយប្រហារអាចប្រើលក្ខណៈពិសេសនេះដើម្បីទទួលបានមាតិកានៃឯកសារពីម៉ាស៊ីនមេ ឧទាហរណ៍ សោចូល និងពាក្យសម្ងាត់ដែលបានរក្សាទុក។ បញ្ហាក៏លេចឡើងនៅក្នុង ImageMagick ផងដែរ។

ប្រភព: opennet.ru