CentOS Linux 8.4 [TuxCare] セキュリティ更新プログラム:ImageMagick/ImageMagick-c++/ImageMagick-c++-devel/etcの複数の脆弱性(CENTOS8.4:CLSA-2026:1792145396)

medium Nessus プラグイン ID 366525

Language:

概要

CentOS Linux ホストに 1 つ以上のセキュリティ更新プログラムが欠落しています。

説明

CentOS Linux 8.4 ホストには、TuxCare CENTOS8.4:CLSA-2026:1792145396アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- ImageMagick は、デジタル画像の編集と操作に使用される無料のオープンソースソフトウェアです。7.1.2-32 と 6.9.13-57 以前では、細工された XMP プロファイルが画像に埋め込まれると、プロファイルパーサーが無限ループに入り、画像処理が完了できなくなる可能性があります。この問題はバージョン 7.1.2-32および 6.9.13-57で修正されています。(CVE-2026-106568)

- 6.9.13-57 より前および 7.1.2-32 より前の 7.x の ImageMagick には、TGA イメージデコーダーに初期化されていないメモリ読み取りが含まれており、メモリコンテンツを漏洩させる可能性があります。攻撃者が、処理のために細工された TGA 画像を用意し、ImageMagick プロセスから初期化されていないメモリの内容を漏洩させる可能性があります。(CVE-2026-109259)

- 6.9.13-57 より前および 7.1.2-32 より前の 7.x の ImageMagick には、YUV エンコーダーにメモリ漏洩があり、特定の操作が失敗したときに割り当てられたメモリを解放できません。攻撃者が、失敗したエンコーダー動作を発生させる細工された入力を指定することで、メモリを漏洩させたり、リソースを消費してサービス拒否を引き起こしたりする可能性があります。(CVE-2026-109263)

- 6.9.13-57 より前および 7.1.2-32 より前の 7.x の ImageMagick には、JPEG2000 圧縮で CMYK イメージを書き込むとき、PDF ライターに use-after-free の脆弱性があります。攻撃者が、細工された CMYK 画像を用意し、これが JPEG2000 圧縮で PDF に書き込まれると、解放されたメモリが再利用され、プロセスをクラッシュさせる可能性があります。(CVE-2026-109268)

- 6.9.13-57 より前および 7.1.2-32 より前の 7.x の ImageMagick には、PostScript レンダラー使用時の MVG デコーダーにコードインジェクションの脆弱性があります。攻撃者が細工された MVG ファイルを用意し、デコードされたときに、コードを PostScript レンダリングパスに注入する可能性があります。(CVE-2026-109275)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。