Rocky Linux 9.6 【TuxCare】セキュリティ更新:ImageMagick/ImageMagick-c++/ImageMagick-c++-devel/etcの複数の脆弱性(ALMALINUX9.6:CLSA-2026:1793192605)

medium Nessus プラグイン ID 373051

Language:

概要

Rocky Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

Rocky Linux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1793192605アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 7.1.2-32 および 6.9.13-57 より前のバージョンの ImageMagick には、coders/gif.c にある GIF デコーダーのアプリケーション拡張ハンドラーに、初期化されていないヒープメモリの漏洩が含まれています。攻撃者が悪意のある GIF ファイルを細工して、数値パーサーに初期化されていないヒープメモリを読み取らせ、コンテンツを画像メタデータとして保存させ、機密ヒープ情報を漏洩させる可能性があります。(CVE-2026-102635)

- 6.9.13-58 より前、7.1.2-33 より前の 7.x の ImageMagick は、IsRightsAuthorizedByName セキュリティポリシーチェックでシンボリックリンクを適切に考慮していないため、構成済みのポリシー制限がバイパスされる可能性があります。
シンボリックリンクを作成できるローカルの攻撃者が、ポリシー制限のあるパスにリンクを向けて、設定されたポリシーを回避する可能性があります。(CVE-2026-105081)

- 7.1.2-32 および 6.9.13-57 より前の ImageMagick には、LoadPolicyCache にポリシーバイパスの脆弱性があります。これは、policy.xml が代替 DOCTYPE を使用すると、セキュリティポリシールールを警告なしでスキップします。末尾が ']> でない有効な DOCTYPE は、パーサーにファイルの残りを消費させるため、ポリシールールは適用されず、制限された操作が許可されます。(CVE-2026-105083)

- ImageMagick は、デジタル画像の編集と操作に使用される無料のオープンソースソフトウェアです。7.1.2-32の前に、認証されていない隣接ネットワーククライアントが、分散ピクセルキャッシュサーバーに繰り返し接続し、利用可能な接続を使い果たすことで、サービス拒否を引き起こす可能性があります。この問題はバージョン 7.1.2-32 で修正されています。(CVE-2026-106570)

- ImageMagick は、デジタル画像の編集と操作に使用される無料のオープンソースソフトウェアです。7.1.2-26he より前のバージョンでは、「-concatenate」操作にポリシーチェックが欠如しています。このため、セキュリティポリシーによって許可されていないパスの読み書きの両方が引き起こされる可能性があります。この問題はバージョン 7.1.2-26で修正されています。(CVE-2026-55628)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。