Debian DSA-3746-1：graphicsmagick 安全更新 (ImageTragick)

critical Nessus 插件 ID 96103

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

在图像处理工具的集合 GraphicsMagick 中发现数个漏洞，其可能导致拒绝服务攻击、远程文件删除和远程命令执行。此安全更新删除了对 PLT/Gnuplot 解码器的完全支持，以防止基于 Gnuplot-shell 的 shell 漏洞，修复 CVE-2016-3714 漏洞。在读取参数文件以修复 CVE-2016-3715 漏洞之后，未记录的“TMP”magick 前缀不会再删除该参数文件。由于最初实现了“TMP”功能，所以 GraphicsMagick 添加了一个临时文件管理子系统，可确保删除临时文件，因此不需要此功能。通过给指定的文件名（包含命令）加上修复 CVE-2016-5118 漏洞的“|”前缀，删除对从 shell 命令读取输入或将输出写入 shell 命令的支持。- CVE-2015-8808 Gustavo Grieco 发现解析 GIF 文件时存在越界读取，可能会导致拒绝服务。- CVE-2016-2317 Gustavo Grieco 发现处理 SVG 图像时存在一个基于堆栈的缓冲区溢出和两个堆缓冲区溢出，可能会导致拒绝服务。- CVE-2016-2318 Gustavo Grieco 发现处理 SVG 图像时存在几个段错误，可能会导致拒绝服务。- CVE-2016-5240 解析 SVG 文件时，Gustavo Grieco 发现一个由负 stroke-dasharray 参数引起的无限循环问题，可能会导致拒绝服务。- CVE-2016-7800 Marco Grassi 在解析 JPG 文件经常附加的 8BIM 区块时发现了一个未签名下溢造成堆溢出，可能会导致拒绝服务。- CVE-2016-7996 Moshe Kaplan 发现未确认 WPG 阅读器中提供的色图不大于 256 个条目，可能会导致拒绝服务。- CVE-2016-7997 Moshe Kaplan 发现由于逻辑错误导致对 WPG 阅读器中某些文件引发断言，可能会导致拒绝服务。- CVE-2016-8682 Gentoo 的 Agostino Sarubbo 发现读取 SCT 标头时存在堆栈缓冲区读取溢出，可能会导致拒绝服务。- CVE-2016-8683 Gentoo 的 Agostino Sarubbo 发现 PCX 编码器中存在内存分配失败，可能会导致拒绝服务。- CVE-2016-8684 Gentoo 的 Agostino Sarubbo 发现 SGI 编码器中存在内存分配失败，可能会导致拒绝服务。- CVE-2016-9830 Gentoo 的 Agostino Sarubbo 发现 MagickRealloc() 函数中存在内存分配失败，可能会导致拒绝服务。