已发现 ImageMagick 未正确审查某些输入，便将其传递至委派功能。远程攻击者可创建特别构建的图像，当由使用 ImageMagick 的应用程序或使用 ImageMagick 实用工具的没有防备的用户处理时，会导致以运行应用程序的用户的权限任意执行 shell 命令。
(CVE-2016-3714)

已发现某些 ImageMagick 编码器和伪协议在处理特别构建的图像时，未正确防止安全敏感操作。远程攻击者可创建特别构建的图像，当由使用 ImageMagick 的应用程序或使用 ImageMagick 实用工具的没有防备的用户处理时，会允许攻击者泄露任意文件的内容。
（CVE-2016-3715、CVE-2016-3716、CVE-2016-3717）

在 ImageMagick 处理某些图像的方式中发现一个服务器端请求伪造缺陷。例如，远程攻击者可利用此缺陷误导使用 ImageMagick 的应用程序或使用 ImageMagick 实用工具的没有防备的用户，来通过特别构建的图像执行 HTTP(S) 请求或打开 FTP 会话。(CVE-2016-3718)

注意：此更新包含禁用 EPHEMERAL、HTTPS、HTTP、URL、FTP、MVG、MSL、TEXT 和 LABEL 编码器的更新后的 /etc/ImageMagick/policy.xml 文件。如果您在更新后遇到任何问题，可能必须手动调整 policy.xml 文件以符合您的要求。请采取额外的预防措施，确保在执行此操作之前，使用 ImageMagick 库的应用程序不会处理恶意或不受信任的文件。

检测

Amazon Linux AMI：ImageMagick (ALAS-2016-699)

high Nessus 插件 ID 91047

未找到变更日志