在 graphicsmagick (用於操控影像檔的工具) 中發現數個安全性弱點。

GraphicsMagick 是 ImageMagick 的分支，且也受到合稱為 ImageTragick 的弱點影響，這些弱點是因為缺少清理不受信任的輸入所導致。具有影像輸入控制權的攻擊者可能會利用執行應用程式之使用者的權限，執行程式碼 (CVE-2016-3714)、提出 HTTP GET 或 FTP 要求 (CVE-2016-3718)，或刪除 (CVE-2016-3715)、移動 (CVE-2016-3716) 或讀取 (CVE-2016-3717) 本機檔案。

為解決這些問題而做出以下變更：

1.移除根據檔案標頭或副檔名自動偵測/執行 MVG 的功能。

2.移除造成根據檔案名稱規格刪除輸入檔案的功能。

3.移除 gnuplot 支援、移除手冊頁面支援並新增 -dSAFER 至所有 ghostscript 叫用，藉此改善 delegates.mgk 的安全。

4.功能健全檢查 MVG 影像原始檔案名稱引數，確保不解譯「magick:」前置詞字串。請注意，此修補程式會中斷在 MVG 中使用 magick 前置詞字串的功能，因此部分 MVG 指令碼可能會失敗。我們將會搜尋更具彈性的解決方案。

此外，下列問題也已經修正：

CVE-2015-8808 確認 GIF 解碼器不會使用未初始化的資料並造成超出邊界讀取。

CVE-2016-2317 和 CVE-2016-2318 允許超出記憶體邊界 (堆積、堆疊) 讀取或寫入的弱點，以及剖析 SVG 檔案時造成拒絕服務的某些 NULL 指標解除參照弱點。

針對 Debian 7「Wheezy」，這些問題已在 1.3.16-1.1+deb7u1 版本中修正。

建議您升級 graphicsmagick 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-484-1：graphicsmagick 安全性更新

high Nessus Plugin ID 91299

版本 2.18