취약점이 수정된 GraphicsMagick 1.3.32 업데이트

도입 이미지 처리 및 변환을 위한 패키지의 새로운 릴리스
그래픽매직 1.3.32, 이는 프로젝트의 퍼징 테스트 중에 식별된 52개의 잠재적 취약점을 제거합니다. OSS- 퍼지.

2018년 343월 이후 OSS-Fuzz는 총 331개의 문제를 식별했으며 그 중 12개는 이미 GraphicsMagick에서 수정되었습니다(나머지 90개는 XNUMX일 수정 기간이 아직 만료되지 않았습니다). 갈라져
지적한OSS-Fuzz는 관련 프로젝트를 확인하는 데에도 사용됩니다. ImageMagick, 현재 100개 이상의 문제가 해결되지 않은 상태로 남아 있으며 이에 대한 정보는 수정 기간이 만료된 후에도 이미 공개되어 있습니다.

OSS-Fuzz 프로젝트에서 확인된 잠재적인 문제 외에도 GraphicsMagick 1.3.32는 SVG, BMP, DIB, MIFF, MAT, MNG, TGA에서 특수 스타일 이미지를 처리할 때 발생하는 14가지 버퍼 오버플로 취약점도 해결합니다.
TIFF, WMF 및 XWD. 비보안 개선 사항에는 WebP에 대한 확장된 지원과 시각 장애인이 볼 수 있도록 점자 형식으로 이미지를 기록하는 기능이 포함됩니다.

또한 데이터 유출을 일으키는 데 사용될 수 있는 기능이 GraphicsMagick 1.3.32에서 제거되었다는 점도 언급되어 있습니다. 문제는 지정된 파일에 있는 텍스트가 이미지 위에 표시되거나 메타데이터에 포함될 수 있도록 허용하는 SVG 및 WMF 형식에 대한 "@filename" 표기법 처리와 관련이 있습니다. 잠재적으로 웹 애플리케이션에 입력 매개변수에 대한 적절한 유효성 검사가 없는 경우 공격자는 이 기능을 사용하여 서버에서 액세스 키 및 저장된 비밀번호와 같은 파일 콘텐츠를 얻을 수 있습니다. ImageMagick에도 문제가 나타납니다.

출처 : opennet.ru