ImageMagick の更新が、Red Hat Enterprise Linux 6 と Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

ImageMagick は、複数の画像形式の読み書きを行うことのできる、X Window System 用の画像表示・操作ツールです。

セキュリティ修正：

* ImageMagick が特定の入力を、委任関数に渡す前に、適切にサニタイズしないことが判明しました。リモートの攻撃者が、特別に細工された画像を作成して、それを ImageMagick を使用するアプリケーションが処理する際、または疑いを持たないユーザーが ImageMagick ユーティリティを使用して処理する際に、アプリケーションを実行しているユーザーの権限で任意のシェルコマンド実行が起こる可能性があります。
（CVE-2016-3714）

* 特定の ImageMagick コーダーおよび疑似プロトコルが、特別に細工された画像を処理する際に、セキュリティ上問題のある操作を適切に防止しないことが判明しました。リモートの攻撃者が、特別に細工された画像を作成して、それを ImageMagick を使用するアプリケーションが処理する際、または疑いを持たないユーザーが ImageMagick ユーティリティを使用して処理する際に、攻撃者が任意のファイルのコンテンツを削除、移動、または漏洩する可能性があります。（CVE-2016-3715、 CVE-2016-3716、CVE-2016-3717）

* サーバー側のリクエスト偽造の欠陥が、ImageMagick が特定の画像を処理する方法で発見されました。リモートの攻撃者がこの欠陥を悪用して、ImageMagick を使用するアプリケーションまたは疑いを持たない ImageMagick ユーティリティを使用するユーザーを欺いて、たとえば、特別に細工された画像を介して HTTP(S) リクエストを実行させたり、FTP セッションを開かせたりする可能性があります。（CVE-2016-3718）

注：この更新には、更新済みの /etc/ImageMagick/policy.xml ファイルが含まれ、EPHEMERAL、HTTPS、HTTP、URL、FTP、MVG、MSL、TEXT、および LABEL コーダーが無効になります。更新後に何らかの問題がある場合は、要件に合致するように policy.xml ファイルを手動で調節する必要が発生する可能性があります。ImageMagick ライブラリを使用するアプリケーションが、処理前に、悪意があるか信頼されないファイルを処理しないように、注意してください。

検出

CentOS 6 / 7：ImageMagick（CESA-2016:0726）

high Nessus プラグイン ID 91020

変更ログが見つかりません