遠端 Debian 11 / 12 主機安裝的套件會受到 dla-4680 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4680-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2026 年 7 月 13 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：imagemagick 版本： 8:6.9.11.60+dfsg-1.3+deb11u15 8:6.9.11.60+dfsg-1.6+deb12u12 CVE 識別碼： CVE-2026-53466 CVE-2026-53467 CVE-2026-55577 CVE-2026-55594 CVE-2026-55595 CVE-2026-55597 CVE-2026-55628 CVE-2026-56361 CVE-2026-56363 CVE-2026-56365 CVE-2026-56366 CVE-2026-56367 CVE-2026-56368 CVE-2026-56370 CVE-2026-56371 CVE-2026-56373 CVE-2026-56376 CVE-2026-56377 CVE-2026-56378

    imagemagick 中發現多個安全性弱點，此數位影像編輯與處理軟體套件在處理格式錯誤的影像時，可能造成拒絕服務和資訊外洩，也有可能導致執行任意程式碼。

    對於 Debian 11 靶心，這些問題已在 .9.11.60+dfsg-1.3+deb11u15 版本 8:6中修復。

    對於 Debian 12 書蟲，這些問題已在 .9.11.60+dfsg-1.6+deb12u12 版本 8:6中修復

    建議您升級 imagemagick 套件。

    如需有關 imagemagick 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/imagemagick

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 ImageMagick 版本是 6.9.10.97-1 之前的版本。因此，它會受到 ALAS2-2026-3939 公告中所提及的多個弱點影響。

    ImageMagick 是用於編輯和操控數位映像的免費開放原始碼軟體。在版本 6.9.13-51 和 7.1.2-26之前，XCF 解碼器中的整數溢位可能會導致讀取特製影像時越界讀取，進而可能導致損毀。此問題已在 6.9.13-51 和 7.1.2-26 版中修正。(CVE-2026-53466)

    ImageMagick 是用於編輯和操控數位映像的免費開放原始碼軟體。在 6.9.13-51 版本 和 7.1.2-26之前，MNG 解碼器可能包含堆積資訊洩漏弱點，因為部分圖元保持不變。此問題已在 6.9.13-51 和 7.1.2-26 版中修正。(CVE-2026-53467)

    ImageMagick 是用於編輯和操控數位映像的免費開放原始碼軟體。在版本 6.9.13-51 和 7.1.2-26之前，MVG 解碼器中會發生堆積緩衝區溢位，這可能會導致在處理特製影像時發生越界寫入。此問題已在 6.9.13-51 和 7.1.2-26 版中修正。(CVE-2026-55577)

    ImageMagick 是用於編輯和操控數位映像的免費開放原始碼軟體。在版本6.9.13-517.1.2-26和之前，MVG 解碼器中缺少深度檢查會導致在提供特製影像時發生堆疊溢位。此問題已在版本 6.9.13-51 和 7.1.2-26中修正。
    (CVE-2026-55594)

    ImageMagick 是用於編輯和操控數位映像的免費開放原始碼軟體。在版本6.9.13-517.1.2-26和之前，當向 connected-components 選項提供無效引數時，會發生無限迴圈。此問題已在 6.9.13-51 和 7.1.2-26 版中修正。(CVE-2026-55595)

    ImageMagick 是用於編輯和操控數位映像的免費開放原始碼軟體。在版本 7.1.2-26之前，引數的錯誤處理可能會導致 JP2 編碼器中的堆積緩衝區覆寫。此問題已在 7.1.2-26 版中修正。（CVE-2026-55597）

    在 7.1.2-26he 之前的版本中，「-concatenate」作業缺少原則檢查，可能導致讀取和寫入安全性原則不允許的路徑。7.1.2-26 版已修正此問題。(CVE-2026-55628)

    ImageMagick 之前包含 7.1.2-19 形態驗證中的差一錯誤，允許越界堆緩衝區讀取。攻擊者可以透過提供不正確的形態參數來觸發堆積緩衝區溢位，從而導致單一像素記憶體存取違規。（CVE-2026-56361）

    ImageMagick 之前 7.1.2-15 包含 GetPixelIndex 中的堆積緩衝區溢位讀取弱點，這是由 OpenPixelCache 在像素快取記憶體配置之前更新影像通道中繼資料所造成。攻擊者可觸發記憶體和磁碟配置失敗，以造成堆積緩衝區溢位讀取，影響任何呼叫 GetPixelIndex 的寫入器。（CVE-2026-56362）

    ImageMagick 之前 7.1.2-22 包含二項式核心處理中的除以零漏洞，允許攻擊者造成拒絕服務。攻擊者可提供較大的二項式核心值，造成整數溢位，進而導致除以零和應用程式當機。（CVE-2026-56363）

    ImageMagick 之前 7.1.2-19 在寫入 MNG 影像時，PNG 編碼器中存在記憶體洩漏漏洞。攻擊者可觸發編碼器故障狀況，耗盡記憶體資源並造成拒絕服務。（CVE-2026-56365）

    ImageMagick 之前 7.1.2-18 在處理APP1JPEG輸入路徑時，META 讀取器中存在記憶體洩漏弱點。攻擊者可以透過提供特製的APP1JPEG映像檔來觸發此記憶體洩漏，透過資源耗盡造成拒絕服務。（CVE-2026-56366）

    ImageMagick 之前包含 7.1.2-22 PasskeyEncipherImage 方法中由於 AES-CTR 隨機數重複使用而導致的資訊洩露弱點。攻擊者可利用加密實作中的隨機數重複使用，從加密影像中復原純文字資訊。（CVE-2026-56369）

    ImageMagick 之前 7.1.2-15 包含 PDB 解碼器中的釋放後使用弱點，該弱點會在記憶體配置失敗時使用過時指標。攻擊者可以透過處理惡意 PDB 檔案來導致損毀，或將單一零位元組寫入釋放的記憶體，以觸發此弱點。（CVE-2026-56373）

    ImageMagick 之前 7.1.2-24 包含不正確的策略檢查，允許攻擊者創建或截斷安全策略不允許的文件。遠端攻擊者可以繞過沙箱轉換服務中的路徑原則限制，在預期邊界之外寫入任意檔案。（CVE-2026-56377）

    ImageMagick 之前7.1.2-266.9.13-51並包含一個堆積型緩衝區覆寫弱點，該弱點在執行X11具有特製視窗標題的匯入時發生，這可能導致堆積記憶體損毀和拒絕服務。（CVE-2026-61464）

    ImageMagick 之前， 7.1.2-26 並且 6.9.13-51 缺少對矩陣支援操作 （例如 -canny） 中允許的記憶體配置限制的檢查。攻擊者可以提供特製的映像，導致 ImageMagick 配置的記憶體超過所設定的原則所允許的記憶體，進而造成拒絕服務。
    (CVE-2026-61465)

    ImageMagick 之前 7.1.2-26 包含一個堆積釋放後使用弱點，這是由於剖析 XMP 設定檔時缺少 null 檢查所致。攻擊者可以使用特製的 XMP 資料製作惡意影像檔案，以觸發弱點並導致應用程式當機。（CVE-2026-61857）

    ImageMagick 之前 7.1.2-26 包含 APNG 編碼器和外部委託中由於缺少驗證檢查而導致的策略繞過漏洞。攻擊者可透過 APNG 編碼程序繞過已設定的原則限制，將檔案寫入不允許的路徑。（CVE-2026-61858）

    ImageMagick 之前並7.1.2-266.9.13-51包含資訊洩露弱點：當使用 IDENTIFY 命令顯示設定檔且設定檔值不可列印時，可以列印設定檔末尾的單個位元組（讀取過設定檔邊界）。啟用除錯輸出時，會發生此行為。（CVE-2026-61862）

    之前（和6.x之前6.9.13-51）的 ImageMagick 7.1.2-26 在 TIFF 編碼器中包含記憶體洩漏，當無法建立臨時檔案時就會發生這種洩漏，從而導致少量記憶體洩漏。（CVE-2026-61863）

    ImageMagick 之前，7.1.2-266.9.13-51包含對數色彩空間顏色轉換中的記憶體洩漏：當操作失敗時，不會釋放少量記憶體。（CVE-2026-61864）

    ImageMagick 之前，7.1.2-266.9.13-51在 hough lines 操作中包含記憶體洩漏：當特定操作失敗時，會發生小的記憶體洩漏。（CVE-2026-61865）

    ImageMagick 之前 7.1.2-26 包含 JNG 編碼器中無法開啟 blob 時的記憶體洩漏漏洞。攻擊者可以透過提供格式錯誤的 JNG 檔案觸發記憶體洩漏，這些檔案會使 blob 作業失敗，進而導致資源耗盡。(CVE-2026-61866)

    ImageMagick 之前 7.1.2-26 和 6.9.x 之前 6.9.13-51 都包含 YUV 解碼器中的記憶體洩漏，當開啟 blob 失敗時會發生記憶體洩漏。重複觸發可能會導致資源耗盡 （拒絕服務）。（CVE-2026-61868）

    ImageMagick 之前， 7.1.2-26 並 6.9.13-51 包含 MIFF 編碼器中的記憶體洩漏，當 MIFF 影像處理期間記憶體分配失敗時，就會發生該洩漏，這可能導致拒絕服務。
    (CVE-2026-61869)

    ImageMagick 之前 7.1.2-26 包含記憶體分配失敗時，VIFF 編碼器中存在記憶體洩漏漏洞。攻擊者可以透過處理特製的 VIFF 影像來耗盡可用記憶體並造成拒絕服務，從而觸發分配失敗。（CVE-2026-61870）

    ImageMagick 之前， 7.1.2-26 並且 6.9.13-51 當指定了無效的 tiff：tile-geometry 時，TIFF 編碼器中包含記憶體洩漏。提供格式錯誤的磚幾何圖形參數會導致配置的記憶體無法釋放，進而導致記憶體耗用量增加。（CVE-2026-61872）

    ImageMagick 是用於編輯和操控數位映像的免費開放原始碼軟體。在之前和7.0.1-0之前7.1.2-26的版本6.9.13-51中，使用使用者提供的核心執行形態學作業時，無效的核心可能會導致堆積緩衝區覆寫。此問題已在 6.9.13-51 和 7.1.2-26 版中修正。(CVE-2026-62343)

    ImageMagick 是用於編輯和操控數位映像的免費開放原始碼軟體。在之前的 7.1.2-27版本中，BGR 解碼器不會檢查每個位置的檔案結尾，因此特製的映像可能會導致堆積緩衝區過度讀取。7.1.2-27 版已修正此問題。(CVE-2026-64685)

    ImageMagick 之前 7.1.2-30 ，當 6.9.13-55 OpenPixelCache 內的操作失敗時，無法正確降低記憶體預算。重複觸發此類故障可能會耗盡處理程序記憶體預算並導致拒絕服務。（CVE-2026-86420）

    ImageMagick 之前 7.1.2-30 ，並且 6.9.13-55 在 MSL 影像解碼器中包含記憶體洩漏。特製的 MSL 映像會在沒有適當解除配置的情況下觸發記憶體配置，使攻擊者能夠耗盡記憶體並造成拒絕服務。（CVE-2026-86421）

    ImageMagick 之前 7.1.2-30 和 6.9.x 之前 6.9.13-55 在 PerlMagick 的 GetList 方法中包含一個釋放後堆積使用弱點。特製的 GetList 方法呼叫可能會觸發釋放後使用，導致損毀 （拒絕服務） 。（CVE-2026-86423）

    ImageMagick 之前 7.1.2-30 和 6.9.x 之前 6.9.13-55 在 PerlMagick 的 Layer 方法中包含一個釋放後堆積使用弱點。提供特製影像清單的攻擊者可在解除配置後觸發記憶體存取，導致當機 （拒絕服務）。（CVE-2026-86425）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - ImageMagick 是用於編輯和操控數位影像的免費開放原始碼軟體。在 7.1.2-26he 之前的版本中，「-concatenate」作業缺少原則檢查，可能導致讀取和寫入安全性原則不允許的路徑。7.1.2-26 版已修正此問題。(CVE-2026-55628)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6383 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6383-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 7 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：imagemagick CVE ID： CVE-2026-53466 CVE-2026-53467 CVE-2026-55577 CVE-2026-55594 CVE-2026-55597 CVE-2026-55628 CVE-2026-56361 CVE-2026-56363 CVE-2026-56364 CVE-2026-56365 CVE-2026-56367 CVE-2026-56368 CVE-2026-56370 CVE-2026-56371 CVE-2026-56376 CVE-2026-56377 CVE-2026-56378

    imagemagick 中發現多個安全性弱點，此數位影像編輯與處理軟體套件在處理格式錯誤的影像時，可能造成拒絕服務和資訊外洩，也有可能導致執行任意程式碼。

    對於穩定版 （trixie），這些問題已在 .1.1.43+dfsg1-1+deb13u11 版 8:7中修正。

    建議您升級 imagemagick 套件。

    如需有關 imagemagick 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/imagemagick

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
326549	Debian dla-4680 ： Imagemagick - 安全性更新	Nessus	Debian Local Security Checks	2026/7/13	2026/7/17	medium
351044	Amazon Linux 2 : ImageMagick (ALAS-2026-3939)	Nessus	Amazon Linux Local Security Checks	2026/9/29	2026/10/2	medium
324779	Linux Distros 未修補弱點：CVE-2026-55628	Nessus	Misc.	2026/7/2	2026/8/24	medium
325515	Debian dsa-6383：Imagemagick - 安全性更新	Nessus	Debian Local Security Checks	2026/7/7	2026/7/7	medium

偵測

搜尋 Plugin

medium

medium

medium

medium