GraphicsMagick 1.3.32 अपडेट कमजोरीहरू तय गरियो

परिचय गराए छवि प्रशोधन र रूपान्तरणको लागि प्याकेजको नयाँ रिलीज
ग्राफिक्समैजिक १.३.३२, जसले परियोजना द्वारा फजिङ परीक्षणको क्रममा पहिचान गरिएका 52 सम्भावित कमजोरीहरूलाई हटाउँछ OSS-Fuzz.

कुलमा, फेब्रुअरी 2018 देखि, OSS-Fuzz ले 343 समस्याहरू पहिचान गरेको छ, जसमध्ये 331 पहिले नै GraphicsMagick मा फिक्स गरिसकिएको छ (बाँकी 12 को लागि, 90-दिनको फिक्स अवधि अझै समाप्त भएको छैन)। अलग
नोट गरियोत्यो OSS-Fuzz पनि सम्बन्धित परियोजना जाँच गर्न प्रयोग गरिन्छ ImageMagick, जसमा हाल 100 भन्दा बढी समस्याहरू समाधान नभएका छन्, जसको बारेमा जानकारी पहिले नै सार्वजनिक रूपमा उपलब्ध छ सुधारको लागि समय समाप्त भएपछि।

OSS-Fuzz परियोजना द्वारा पहिचान गरिएका सम्भावित समस्याहरूका अतिरिक्त, GraphicsMagick 1.3.32 ले SVG, BMP, DIB, MIFF, MAT, MNG, TGA, मा विशेष स्टाइल गरिएका छविहरू प्रशोधन गर्दा 14 बफर ओभरफ्लो कमजोरीहरूलाई पनि सम्बोधन गर्दछ।
TIFF, WMF र XWD। गैर-सुरक्षा सुधारहरूमा WebP को लागि विस्तारित समर्थन र दृष्टिविहीनहरूले हेर्नको लागि ब्रेल ढाँचामा छविहरू रेकर्ड गर्ने क्षमता समावेश गर्दछ।

यो पनि नोट गरिएको छ GraphicsMagick 1.3.32 बाट हटाउने सुविधा जुन डाटा चुहावटको लागि प्रयोग गर्न सकिन्छ। यो मुद्दा SVG र WMF ढाँचाहरूका लागि "@filename" नोटेशनको ह्यान्डलिङसँग सम्बन्धित छ, जसले निर्दिष्ट फाइलमा रहेको पाठलाई छविको शीर्षमा देखाउन वा मेटाडेटामा समावेश गर्न अनुमति दिन्छ। सम्भावित रूपमा, यदि वेब अनुप्रयोगहरूसँग इनपुट प्यारामिटरहरूको उचित प्रमाणीकरण छैन भने, आक्रमणकारीहरूले सर्भरबाट फाइलहरूको सामग्रीहरू प्राप्त गर्न यो सुविधा प्रयोग गर्न सक्छन्, उदाहरणका लागि पहुँच कुञ्जीहरू र सुरक्षित गरिएका पासवर्डहरू। समस्या ImageMagick मा पनि देखिन्छ।

स्रोत: opennet.ru