Mail.Ru 安全团队的 Nikolay Ermishkin 和 Stewie 在 ImageMagick（一种图像处理程序套件）中发现多个漏洞。这些漏洞（统称为 ImageTragick）是缺少审查不受信任输入的结果。具有图像输入控制权的攻击者可利用运行应用程序的用户的权限，执行代码 (CVE-2016-3714)、提出 HTTP GET 或 FTP 请求 (CVE-2016-3718)，或删除 (CVE-2016-3715)、移动 (CVE-2016-3716) 或读取 (CVE-2016-3717) 本地文件。

如果 Imagemagick 处理来自远程各方（例如部分 Web 服务）的图像，这些漏洞会特别危急。

此更新禁用了有漏洞的编码器（EPHEMERAL、URL、MVG、MSL 和 PLT），以及通过 /etc/ImageMagick/policy.xml 文件进行的间接读取。此外，我们引入了额外的预防措施，其中包括对 http/https 委派中输入文件名的一些审查、PLT/Gnuplot 解码器的完整移动，以及不安全编码器的文件名中显式引用的需求。

对于 wheezy，已在版本 8:6.7.7.10-5+deb7u5 中修复这些问题。

建议您升级 imagemagick 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

Debian DLA-486-1：imagemagick 安全更新

high Nessus 插件 ID 91287

未找到变更日志