リモートのホストにインストールされている ImageMagick のバージョンは、6.9.10.97-1 より前です。したがって、ALAS2-2026-3786 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    7.1.2-15 より前のバージョンの ImageMagick には、生のピクセルデータを書き込む複数のコーダーにおいて、割り当てられたオブジェクトが適切に解放されないことに起因するメモリリークの脆弱性が存在します。攻撃者は、特別に細工された画像を処理することでこのリークを発生させ、メモリの枯渇やサービス拒否を引き起こす可能性があります。(CVE-2026-56368)

    7.1.2-19 より前の ImageMagick には、無効なインデックスを持つ接続コンポーネントのアーティファクトを処理するとき、ConnectedComponentsImage() に領域外アクセスの脆弱性があります。攻撃者が、CLI を介して無効な形式の接続コンポーネント定義を指定することで、アクセス違反を発生させ、サービス拒否を引き起こしたり、コードを実行したりする可能性があります。(CVE-2026-56370)

    7.1.2-15 および 6.9.13-40 よりの前のバージョンの ImageMagick では、texture 属性を含む TXT ファイルを処理する際に、coders/txt.c においてメモリリークが発生します。ReadImage 経由で割り当てられた texture オブジェクトが GetTypeMetrics の失敗時に解放されず、texture 属性を含む細工された TXT ファイルが処理されるたびにメモリがリークします。(CVE-2026-56371)

    7.1.2-15より前 (かつ 6.9.13-40より前の 6.x) の ImageMagick には、PCD コーダーの DecodeImage ループにヒープ領域外読み取りが存在します。細工された PCD ファイルが画像のデコード中に 1 バイトのヒープ領域外読み取りをトリガーし、サービス拒否や隣接するヒープバイトの漏えいを引き起こす可能性があります。
    (CVE-2026-56378)

    7.1.2-15 および 6.9.13-40 より前の ImageMagick には、SVG デコーダーにコマンドインジェクションの脆弱性があり、攻撃者が任意の MVG 描画コマンドを注入する可能性があります。攻撃者が、レンダリング中に実行する注入された Magick Vector Graphics コマンドで、悪意のある SVG ファイルを細工する可能性があります。(CVE-2026-56379)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2 : ImageMagick、--advisory ALAS2-2026-3786 (ALAS-2026-3786)

medium Nessus プラグイン ID 325586

バージョン 1.1