ImageMagick が特定の入力を、委任関数に渡す前に、適切にサニタイズしないことが判明しました。リモートの攻撃者が、特別に細工された画像を作成して、それを ImageMagick を使用するアプリケーションが処理する際、または疑いを持たないユーザーが ImageMagick ユーティリティを使用して処理する際に、アプリケーションを実行しているユーザーの権限で任意のシェルコマンド実行が起こる可能性があります。
（CVE-2016-3714）

特定の ImageMagick コーダーおよび疑似プロトコルが、特別に細工された画像を処理する際に、セキュリティ上問題のある操作を適切に防止しないことが判明しました。リモートの攻撃者が、特別に細工された画像を作成して、それを ImageMagick を使用するアプリケーションにより処理する際、または疑いを持たないユーザーが ImageMagick ユーティリティを使用して処理する際に、攻撃者が任意のファイルのコンテンツを漏洩する可能性があります。
（CVE-2016-3715、CVE-2016-3716、CVE-2016-3717）

サーバー側のリクエスト偽造の欠陥が、ImageMagick が特定の画像を処理する方法で発見されました。リモートの攻撃者がこの欠陥を悪用して、ImageMagick を使用するアプリケーションまたは疑いを持たない ImageMagick ユーティリティを使用するユーザーを欺いて、たとえば、特別に細工された画像を介して HTTP(S) リクエストを実行させたり、FTP セッションを開かせたりする可能性があります。（CVE-2016-3718）

注：この更新には、更新済みの /etc/ImageMagick/policy.xml ファイルが含まれ、EPHEMERAL、HTTPS、HTTP、URL、FTP、MVG、MSL、TEXT、および LABEL コーダーが無効になります。更新後に何らかの問題がある場合は、要件に合致するように policy.xml ファイルを手動で調節する必要が発生する可能性があります。ImageMagick ライブラリを使用するアプリケーションが、処理前に、悪意があるか信頼されないファイルを処理しないように、注意してください。

検出

Amazon Linux AMI：ImageMagick（ALAS-2016-699）

high Nessus プラグイン ID 91047

バージョン 2.16

バージョン 2.15

バージョン 2.14

バージョン 2.13

バージョン 2.16 Mar 15, 2025, 2:36 AM CISA reference Plugin Feed: 202503150236
バージョン 2.15 Mar 14, 2025, 3:40 AM CISA reference Plugin Feed: 202503140340
バージョン 2.14 Sep 10, 2024, 4:59 PM CISA reference Plugin Feed: 202409101659
バージョン 2.13 Sep 9, 2024, 10:05 PM CISA reference CVSSv2 score source (set to "CVE-2016-3714") Plugin Feed: 202409092205