画像ファイルの操作ツールである graphicsmagick に、いくつかのセキュリティの脆弱性が発見されました。

GraphicsMagick は　ImageMagick の fork であり、集合的に ImageTragick として知られる脆弱性の影響も受けます。この脆弱性は、信頼できない入力がサニタイズされないことが原因です。イメージ入力をコントロールできる攻撃者が、アプリケーションを実行しているユーザーの権限を利用して、コードの実行（CVE-2016-3714）、HTTP GET もしくは FTP リクエストの実行（CVE-2016-3718）、またはローカルファイルの削除（CVE-2016-3715）、移動（CVE-2016-3716）もしくは読み取り（CVE-2016-3717）を行う可能性があります。

これらの懸念に対処するために、以下の変更が実施されました：

1.ファイル拡張子のヘッダーに基づいて MVG の自動検知/実行を削除。

2.ファイル名の仕様に基づいて入力ファイルが削除される機能を削除。

3.gnuplot サポートとマニュアルページサポートを排除し、-dSAFER を全ての ghostscript の起動に追加することで、delegates.mgk の安全性を強化。

4.MVG 画像のプリミティブなファイル名引数のサニティチェックを行い、「magick:」プレフィックス文字列が解釈されないことを保証。注意：このパッチは MVG の magick プレフィックス文字列の意図的な使用を阻止するため、一部の MVG スクリプトは失敗する可能性があります。弊社はより柔軟なソリューションを調査します。

さらに、以下の問題が修正されています：

CVE-2015-8808 GIF デコーダーが初期化されていないデータを使用せず、領域外読み取りを発生させないことを保証。

CVE-2016-2317 および CVE-2016-2318 メモリ領域（ヒープ、スタック）外での読み書きを許可し、一部の NULL ポインターデリファレンスが SVG ファイルの解析時にサービス拒否を引き起こすことを可能にする脆弱性。

Debian 7「Wheezy」では、これらの問題はバージョン 1.3.16-1.1+deb7u1 で修正されました。

お使いの graphicsmagick パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Debian DLA-484-1：graphicsmagick セキュリティ更新

high Nessus プラグイン ID 91299

バージョン 2.15