Uppdatering av GraphicsMagick 1.3.32 med åtgärder mot sårbarheter

Presenteras nytt utgivande av paketet för hantering och konvertering av bilder
GraphicsMagick 1.3.32, där 52 potentiella sårbarheter har åtgärdats, identifierade genom fuzzing-testning av projektet OSS-Fuzz.

Sedan februari 2018 har OSS-Fuzz avslöjat 343 problem, varav 331 redan har åtgärdats i GraphicsMagick (de återstående 12 är fortfarande inom den 90-dagars tidsram som ges för att åtgärda dem). Separat
nämns, som OSS-Fuzz också används för att kontrollera det angränsande projektet ImageMagick, där mer än 100 problem för närvarande förblir oåtgärdade, med information som är offentligt tillgänglig efter att tidsfristen för åtgärd har löpt ut.

Förutom de potentiella problemen som identifierats av OSS-Fuzz har GraphicsMagick 1.3.32 också åtgärdat 14 sårbarheter som kan leda till buffertöverskrivning vid behandling av specialdesignade bilder i formaten SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF och XWD. Om icke-säkerhetsrelaterade förbättringar noteras utökat stöd för WebP och möjligheten att spara bilder i Braille-format för synskadade.

Det noteras också att möjligheten som kan användas för att skapa dataläckage har tagits bort från GraphicsMagick 1.3.32. Problemet rör bearbetning av notationen "@filnamn" för formaten SVG och WMF, vilket möjliggör att text från den angivna filen kan visas ovanpå bilden eller inkluderas i metadata. Potentiellt kan angripare, vid bristande validering av inmatningsparametrar i web-applikationer, utnyttja denna funktion för att få innehållet i filer från servern, till exempel åtkomstnycklar och sparade lösenord. Problemet finns även i ImageMagick.

Källa: opennet.ru