nova versão do pacote para processamento e conversão de imagens
, que corrige 52 vulnerabilidades potenciais identificadas durante os testes de fuzzing pelo projeto .
Desde fevereiro de 2018, com a ajuda do OSS-Fuzz, 343 problemas foram identificados, dos quais 331 já foram corrigidos no GraphicsMagick (para os 12 restantes, o prazo de 90 dias para correção ainda não expirou). Além disso
, o OSS-Fuzz também é usado para verificar o projeto relacionado , no qual atualmente mais de 100 problemas permanecem não corrigidos, cujas informações já estão publicamente disponíveis após o término do tempo de correção.
Além dos problemas potenciais identificados pelo projeto OSS-Fuzz, o GraphicsMagick 1.3.32 também corrigiu 14 vulnerabilidades que podem resultar em estouro de buffer ao processar imagens especialmente formatadas nos formatos SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF e XWD. Entre as melhorias não relacionadas à segurança, destaca-se a expansão do suporte ao WebP e a capacidade de gravar imagens no formato Braille para visualização por deficientes visuais.
Também foi mencionado que a GraphicsMagick 1.3.32 removeu uma funcionalidade que poderia ser explorada para a exfiltração de dados. O problema está relacionado ao processamento da notação “@nomearquivo” para os formatos SVG e WMF, permitindo exibir texto sobre a imagem ou incluí-lo nos metadados que está presente no arquivo indicado. Potencialmente, na ausência de uma verificação adequada dos parâmetros de entrada em aplicativos web, atacantes podem explorar essa função para acessar o conteúdo de arquivos no servidor, como chaves de acesso e senhas salvas. O problema também se manifesta no ImageMagick.
Fonte: opennet.ru
