Säkerhetsbulletin från Debian

DSA-3746-1 graphicsmagick -- säkerhetsuppdatering

Rapporterat den:
2016-12-24
Berörda paket:
graphicsmagick
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Debians felrapporteringssystem: Fel 814732, Fel 825800, Fel 847055.
I Mitres CVE-förteckning: CVE-2015-8808, CVE-2016-2317, CVE-2016-2318, CVE-2016-3714, CVE-2016-3715, CVE-2016-5118, CVE-2016-5240, CVE-2016-7800, CVE-2016-7996, CVE-2016-7997, CVE-2016-8682, CVE-2016-8683, CVE-2016-8684, CVE-2016-9830.
Ytterligare information:

Flera sårbarheter har upptäckts i GraphicsMagick, en samling av bildbehandlingsverktyg, som kan orsaka överbelastningsangrepp, filborttagning från fjärran, och fjärrexekvering av kommandon.

Denna säkerhetsuppdatering tar bort det fulla stödet för PLT/Gnuplot-avkodaren för att förhindra Gnuplot-shell-baserade skalexploateringar för att rätta sårbarheten CVE-2016-3714.

Den odokumenterade TMP magick-prefixet tar inte längre bort argumentfilen efter att den har lästs för att rätta sårbarheten CVE-2016-3715. Efter TMP-funktionen ursprungligen implementerades lade GraphicsMagick till ett undersystem för hantering av temporära filer som säkerställer att temporära filer tas bort så att denna funktionalitet inte behövs.

Borttaget stöd för att läsa indata från ett skalkommando, eller skriva utdata till ett skalkommando genom att prefixa det specifierade filnamnet (som innehåller kommandot) med ett '|' för att rätta sårbarheten CVE-2016-5118.

  • CVE-2015-8808

    Gustavo Grieco upptäckte en läsning utanför gränserna i tolkningen av GIF-filer som kan orsaka överbelastning.

  • CVE-2016-2317

    Gustavo Grieco upptäckte ett stackbuffertspill och två heapbuffertspill vid behandling av SVG-bilder som kan orsaka överbelastning.

  • CVE-2016-2318

    Gustavo Grieco upptäckte flera segmenteringsfel vid behandling av SVG-bilder som kan orsaka överbelastning.

  • CVE-2016-5240

    Gustavo Grieco upptäckte ett problem med en oändlig loop som orsakats av negative stroke-dasharray-argument vid behandling av SVG-filer, vilket kan orsaka överbelastning.

  • CVE-2016-7800

    Marco Grassi upptäckte ett otypat underspill vilket leder till heapbaserat buffertspill vid tolkning av en 8BIM-chunk som ofta är bifogad till JPG-filer vilket kan orsaka överbelastning.

  • CVE-2016-7996

    Moshe Kaplan upptäckte att det inte finns någon kontroll att den tillhandahållna färgkartan inte är större änm 256 poster i WPG-läsaren, vilket kan orsaka överbelastning.

  • CVE-2016-7997

    Moshe Kaplan upptäckte att ett antagande utlöses för vissa filer i WPG-läsaren på grund av ett logikfel som kan orsaka överbelastning.

  • CVE-2016-8682

    Agostino Sarubbo från Gentoo upptäckte ett läsningspill av stackbuffern vid läsning av SCT-huvudet som kan leda till överbelastning.

  • CVE-2016-8683

    Agostino Sarubbo från Gentoo upptäckte ett minnesallokeringsfel i PCX-kodaren som kan orsaka överbelastning.

  • CVE-2016-8684

    Agostino Sarubbo från Gentoo upptäckte ett minnesallokeringsfel i SGI-kodaren som kan orsaka överbelastning.

  • CVE-2016-9830

    Agostino Sarubbo från Gentoo upptäckte ett minnesallokeringsfel i funktionen MagickRealloc() som kan orsaka överbelastning.

För den stabila utgåvan (Jessie) har dessa problem rättats i version 1.3.20-3+deb8u2.

För uttestningsutgåvan (Stretch), har dessa problem rättats (med undantaget CVE-2016-9830) i version 1.3.25-5.

För den instabila utgåvan (Sid) har dessa problem rättats i version 1.3.25-6.

Vi rekommenderar att ni uppgraderar era graphicsmagick-paket.