The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Разработчики GraphicsMagick проанализировали подверженность уязвимостям ImageMagick

09.05.2016 11:20

Разработчики проекта GraphicsMagick, ответвившегося от ImageMagick в 2002 году, опубликовали результаты анализа критических уязвимостей, недавно выявленных в ImageMagick. Отмечается, что несмотря на дополнительные проверки аргументов, GraphicsMagick оказался уязвим при применении немного изменённого вектора атаки.

Атака по организации выполнения произвольных shell-команд может быть организована в GraphicsMagick через файлы в формате "gplt", которые обрабатываются через запуск gnuplot, вызываемый при помощи функции system() с группировкой аргументов в одной строке. Для блокирования атаки достаточно удалить запись "gplt" в файле delegates.mgk.

GraphicsMagick также подвержен проблемам с обработкой MVG на основании заголовков (MVG будет обработан даже если файл поставляется в .jpg или с любым другим расширением). Отмечается и подверженность уязвимостям CVE-2016-3718 (инициирования внешних запросов HTTP GET или FTP) и CVE-2016-3715 (удаление файлов при обработке специально оформленных изображений).

  1. Главная ссылка к новости (http://seclists.org/oss-sec/20...)
  2. OpenNews: Критическая уязвимость в пакете ImageMagick, используемом на многих сайтах
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/44391-graphicsmagick
Ключевые слова: graphicsmagick, imagemagick
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (16) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, h31 (ok), 12:06, 09/05/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Народ, а кто вообще пользуется GraphicsMagick? Зачем он нужен, если есть ImageMagick?
     
     
  • 2.2, Аноним (-), 12:17, 09/05/2016 [^] [^^] [^^^] [ответить]  
  • +10 +/
    Он быстрее от 2 до 4 раз, меньше жрёт памяти, все утилиты через единый 'gm <cmd>'.
    При этом по API почти совместим с оригиналом. Разница примерно такая же, как между mysql и mariadb.

    Если вдруг авторам I/M моча в голову ударит - юзеры хмыкнут и переключатся на G/M почти бесшовно.

     
     
  • 3.4, ano (??), 16:27, 09/05/2016 [^] [^^] [^^^] [ответить]  
  • +/
    откуда инфа про 2-4 раза и память?
     
     
  • 4.13, Аноним (-), 00:59, 10/05/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Личный опыт. Плотно юзал и частично переделывал debian'овскую findimagedupes.
     
  • 2.5, prokoudine (??), 16:57, 09/05/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > Народ, а кто вообще пользуется GraphicsMagick?

    Все, кто пользуется Scribus, например.

     
  • 2.9, Ник (??), 19:01, 09/05/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    GM умеет параллелиться по ядрам. Но мы откатились на IM из-за чуть лучшего качества изображения после ресайза и пары каких-то функций, которые на GM не удалось запустить вообще.
     
     
  • 3.10, pauc (?), 22:51, 09/05/2016 [^] [^^] [^^^] [ответить]  
  • +/
    IM вполне себе по ядрам раскладывается. Только криво синхронизируется. Но на одной задаче выигрыш заметен. Env MAGICK_THREAD_LIMIT.
     

  • 1.3, Аноним (-), 14:31, 09/05/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вот бы ещё Mesa форкнули без впиливания туда LLVM.
     
     
  • 2.7, Аноним (-), 17:28, 09/05/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Вот бы ещё Mesa форкнули без впиливания туда LLVM.

    Напишешь кодогенератор для gcn? Если у тебя что-то другое, можешь сам собрать без него.

     
  • 2.14, Аноним (-), 12:47, 10/05/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    И ради чего? Первый раз вижу человека недовольного ллвм в месе. Это какая-то борьба с ветряными мельницами?
     
     
  • 3.16, Led (ok), 15:59, 10/05/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > И ради чего? Первый раз вижу человека недовольного ллвм в месе. Это
    > какая-то борьба с ветряными мельницами?

    ллвм - это ветряные мельницы?

     

  • 1.6, омномнимус (ok), 17:17, 09/05/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >вызываемый при помощи функции system()

    а кто-то еще пхпешников называет говнокодерами, лол.

     
     
  • 2.12, Аноним (-), 00:36, 10/05/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > а кто-то еще пхпешников называет го внокодерами, лол.

    Так не врут - https://www.opennet.ru/opennews/art.shtml?num=44390

     
     
  • 3.15, омномномнимус (?), 15:47, 10/05/2016 [^] [^^] [^^^] [ответить]  
  • +/
    так я же и не отрицаю наличия таких среди пхпшников. Просто одновременно с наездом на них обычно еще и подразумевают, что в pure-c, python etc проблем с кодерами нет и они все выдают сразу же безбажный и неломаемый код :-)
     

  • 1.8, Аноним (-), 18:15, 09/05/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Когда ImageMagick починит нормальную работу в OpenCL:

    Пытается вылести из песочницы при доступе к /dev/dri/card*

    например, когда выполняешь:

    $ /usr/bin/mogrify -version

     
  • 1.11, Омский линуксоид (ok), 23:50, 09/05/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Омские линуксоиды ждут анализа GraphicsMagick от разработчиков ImageMagick...
     
     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру