リモートの Ubuntu 16.04 ESM ホストには、USN-4586-2のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    USN-4586-1 では、PHP ImageMagick の脆弱性が修正されました。この更新プログラムでは、Ubuntu 16.04 ESM に対応する更新が提供されます。



Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ImageMagick APIを使用して画像を作成および変更するためのPHP拡張機能であるphp-imagickに、境界外書き込みの脆弱性が発見されました。これは、サービス拒否または任意コード実行が発生する可能性があります。

このphp7-imagickの更新では、次の問題を修正します：

バージョン3.4.4へのアップグレード：

追加：

  - 関数Imagick：：OptimizeImageTransparency（）

  - METRIC_STRUCTURAL_SIMILARITY_ERROR

  - METRIC_STRUCTURAL_DISSIMILARITY_ERROR

  - COMPRESSION_ZSTD - https://github.com/facebook/zstd

  - COMPRESSION_WEBP

  - CHANNEL_COMPOSITE_MASK

  - FILTER_CUBIC_SPLINE -「-define filter：lobes=（2,3,4）（参照https://imagemagick.org/discourse-server/viewtopic.php?f=2&t=32506）。」

  - ImagickがGmagick拡張と明示的に競合するようになりました。

修正：

  - バージョンチェックを修正し、ImagickをImageMagickバージョン6.7.8-xで使用するときにRemoveAlphaChannelとFlattenAlphaChannelを使用できるようにしました

  - バグ77128 - Imagick：：setImageInterpolateMethod（）がWindowsで利用できない

  - ImagickPixel：：__constructがオブジェクトのインスタンス化の後に呼び出される場合のメモリ漏洩を回避。

  - ImagickPixel内部コンストラクターが呼び出されない場合のセグメンテーション違反を回避。

  - Imagick：：setResourceLimitが、32ビットプラットフォームにおける2GB（2^31）より大きい値をサポート。

  - Imagick：：colorDecisionListImage（）におけるのメモリ上書きを修正

  - バグ77791 - ImagickKernel：：fromMatrix（）の領域外書き込み。CVE-2019-11037、boo#1135418を修正します

次の関数が廃止されました：

  - ImagickDraw、matte

  - Imagick：：averageimages

  - Imagick：：colorfloodfillimage

  - Imagick：：filter

  - Imagick：：flattenimages

  - Imagick：：getimageattribute

  - Imagick：：getimagechannelextrema

  - Imagick：：getimageclipmask

  - Imagick：：getimageextrema

  - Imagick：：getimageindex

  - Imagick：：getimagematte

  - Imagick：：getimagemattecolor

  - Imagick：：getimagesize

  - Imagick：：mapimage

  - Imagick：：mattefloodfillimage

  - Imagick：：medianfilterimage

  - Imagick：：mosaicimages

  - Imagick：：orderposterizeimage

  - Imagick：：paintfloodfillimage

  - Imagick：：paintopaqueimage

  - Imagick：：painttransparentimage

  - Imagick：：radiusblurimage

  - Imagick：：recolorimage

  - Imagick：：reducenoiseimage

  - Imagick：：roundcornersimage

  - Imagick：：roundcorners

  - Imagick：：setimageattribute

  - Imagick：：setimagebias

  - Imagick：：setimageclipmask

  - Imagick：：setimageindex

  - Imagick：：setimagemattecolor

  - Imagick：：setimagebiasquantum

  - Imagick：：setimageopacity

  - Imagick：：transformimage

**バージョン3.4.4**

  - 3.4.4リリースは、PHP 5.xまたはImageMagick 6.xのいずれかをサポートする最後のリリース（小規模のバグ修正を除く）となるよう意図されています。次回に計画されているリリースは、PHP > 7.0およびImageMagick > 7.0です。

  - **追加：**

  - 関数Imagick: : OptimizeImageTransparency()

  - METRIC_STRUCTURAL_SIMILARITY_ERROR

  - METRIC_STRUCTURAL_DISSIMILARITY_ERROR

  - COMPRESSION_ZSTD - https://github.com/facebook/zstd

  - COMPRESSION_WEBP

  - CHANNEL_COMPOSITE_MASK

  - FILTER_CUBIC_SPLINE -「-define filter: lobes={2、3、4}でlobeを定義する（参照 https://imagemagick.org/discourse-server/viewtopic.php?f=2&t=32506）」。

  - ImagickがGmagick拡張と明示的に競合するようになりました。

  - **修正：**

  - バージョンチェックを修正し、ImagickをImageMagickバージョン6.7.8-xで使用するときにRemoveAlphaChannelとFlattenAlphaChannelを使用できるようにしました

  - バグ77128 - Imagick: : setImageInterpolateMethod()がWindowsで利用できない

  - ImagickPixel: : __constructがオブジェクトのインスタンス化の後に呼び出される場合のメモリ漏洩を回避。

  - ImagickPixel内部コンストラクターが呼び出されない場合のセグメンテーション違反を回避。

  - Imagick: : setResourceLimitが、32ビットプラットフォームにおける2GB（2^31）より大きい値をサポート。

  - Imagick: : colorDecisionListImage()におけるのメモリ上書きを修正

  - バグ77791 - ImagickKernel: : fromMatrix()の領域外書き込み。

  - **廃止：**

  - 次の関数が廃止されました。

  - ImagickDraw、matte

  - Imagick: : averageimages

  - Imagick: : colorfloodfillimage

  - Imagick: : filter

  - Imagick: : flattenimages

  - Imagick: : getimageattribute

  - Imagick: : getimagechannelextrema

  - Imagick: : getimageclipmask

  - Imagick: : getimageextrema

  - Imagick: : getimageindex

  - Imagick: : getimagematte

  - Imagick: : getimagemattecolor

  - Imagick: : getimagesize

  - Imagick: : mapimage

  - Imagick: : mattefloodfillimage

  - Imagick: : medianfilterimage

  - Imagick: : mosaicimages

  - Imagick: : orderposterizeimage

  - Imagick: : paintfloodfillimage

  - Imagick: : paintopaqueimage

  - Imagick: : painttransparentimage

  - Imagick: : radiusblurimage

  - Imagick: : recolorimage

  - Imagick: : reducenoiseimage

  - Imagick: : roundcornersimage

  - Imagick: : roundcorners

  - Imagick: : setimageattribute

  - Imagick: : setimagebias

  - Imagick: : setimageclipmask

  - Imagick: : setimageindex

  - Imagick: : setimagemattecolor

  - Imagick: : setimagebiasquantum

  - Imagick: : setimageopacity

  - Imagick: : transformimage

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン3.4.4**

  - 3.4.4リリースは、PHP 5.xまたはImageMagick 6.xのいずれかをサポートする最後のリリース（小規模のバグ修正を除く）となるよう意図されています。次回に計画されているリリースは、PHP > 7.0およびImageMagick > 7.0です。

  - **追加：**

  - 関数Imagick: : OptimizeImageTransparency()

  - METRIC_STRUCTURAL_SIMILARITY_ERROR

  - METRIC_STRUCTURAL_DISSIMILARITY_ERROR

  - COMPRESSION_ZSTD - https://github.com/facebook/zstd

  - COMPRESSION_WEBP

  - CHANNEL_COMPOSITE_MASK

  - FILTER_CUBIC_SPLINE -「-define filter: lobes={2、3、4}でlobeを定義する（参照 https://imagemagick.org/discourse-server/viewtopic.php?f=2&t=32506）。」

  - ImagickがGmagick拡張と明示的に競合するようになりました。

  - **修正：**

  - バージョンチェックを修正し、ImagickをImageMagickバージョン6.7.8-xで使用するときにRemoveAlphaChannelとFlattenAlphaChannelを使用できるようにしました

  - バグ77128 - Imagick: : setImageInterpolateMethod()がWindowsで利用できない

  - ImagickPixel: : __constructがオブジェクトのインスタンス化の後に呼び出される場合のメモリ漏洩を回避。

  - ImagickPixel内部コンストラクターが呼び出されない場合のセグメンテーション違反を回避。

  - Imagick: : setResourceLimitが、32ビットプラットフォームにおける2GB（2^31）より大きい値をサポート。

  - Imagick: : colorDecisionListImage()におけるのメモリ上書きを修正

  - バグ77791 - ImagickKernel: : fromMatrix()の領域外書き込み。

  - **廃止：**

  - 次の関数が廃止されました。

  - ImagickDraw、matte

  - Imagick: : averageimages

  - Imagick: : colorfloodfillimage

  - Imagick: : filter

  - Imagick: : flattenimages

  - Imagick: : getimageattribute

  - Imagick: : getimagechannelextrema

  - Imagick: : getimageclipmask

  - Imagick: : getimageextrema

  - Imagick: : getimageindex

  - Imagick: : getimagematte

  - Imagick: : getimagemattecolor

  - Imagick: : getimagesize

  - Imagick: : mapimage

  - Imagick: : mattefloodfillimage

  - Imagick: : medianfilterimage

  - Imagick: : mosaicimages

  - Imagick: : orderposterizeimage

  - Imagick: : paintfloodfillimage

  - Imagick: : paintopaqueimage

  - Imagick: : painttransparentimage

  - Imagick: : radiusblurimage

  - Imagick: : recolorimage

  - Imagick: : reducenoiseimage

  - Imagick: : roundcornersimage

  - Imagick: : roundcorners

  - Imagick: : setimageattribute

  - Imagick: : setimagebias

  - Imagick: : setimageclipmask

  - Imagick: : setimageindex

  - Imagick: : setimagemattecolor

  - Imagick: : setimagebiasquantum

  - Imagick: : setimageopacity

  - Imagick: : transformimage

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

PHP imagick拡張モジュールでは、ImagickKernel::fromMatrix()関数における値配列への書き込みで、アドレスが割り当てられた配列内にあることを確認しませんでした。これにより、信頼できないパーティが制御するデータで関数が呼び出された場合、メモリへの領域外書き込みが引き起こされる可能性があります。（CVE-2019-11037）

リモートのUbuntu 18.04LTSホストには、USN-4586-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - バージョン3.3.0～3.4.4のPHP imagick拡張では、ImagickKernel: : fromMatrix()関数における値配列への書き込みで、アドレスが割り当てられた配列内にあることを確認しませんでした。
    これにより、信頼できないパーティが制御するデータで関数が呼び出された場合、メモリへの領域外書き込みが引き起こされる可能性があります。 (CVE-2019-11037)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.3.0 から 3.4.4までのバージョンの PHP imagick 拡張では、ImagickKernel::fromMatrix() 関数の値の配列への書き込みで、アドレスが割り当てられた配列内にあることが確認されませんでした。
    これにより、信頼できないパーティが制御するデータで関数が呼び出された場合、メモリへの領域外書き込みが引き起こされる可能性があります。(CVE-2019-11037)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
183552	Ubuntu 16.04 ESM : PHP ImageMagick の脆弱性 (USN-4586-2)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/10/29	critical
131294	Debian DSA-4576-1 : php-imagick - セキュリティ更新	Nessus	Debian Local Security Checks	2019/11/26	2024/4/9	critical
132905	openSUSEセキュリティ更新プログラム：php7-imagick（openSUSE-2020-14）	Nessus	SuSE Local Security Checks	2020/1/15	2024/3/29	critical
125181	Fedora 29：php-pecl-imagick（2019-5dc1f4100e）	Nessus	Fedora Local Security Checks	2019/5/16	2024/5/22	critical
125180	Fedora 30：php-pecl-imagick（2019-488d0f9a4b）	Nessus	Fedora Local Security Checks	2019/5/16	2024/5/22	critical
125183	Fedora 28：php-pecl-imagick（2019-9448fa46f3）	Nessus	Fedora Local Security Checks	2019/5/16	2024/5/22	critical
127065	Amazon Linux AMI：php54-pecl-imagick/php55-pecl-imagick、php56-pecl-imagick、php70-pecl-imagick、php71-pecl-imagick、php72-pecl-imagick（ALAS-2019-1237）	Nessus	Amazon Linux Local Security Checks	2019/7/26	2024/5/8	critical
141542	Ubuntu18.04LTS: PHP ImageMagickの脆弱性 (USN-4586-1)	Nessus	Ubuntu Local Security Checks	2020/10/20	2024/8/27	critical
257847	Linux Distros のパッチ未適用の脆弱性: CVE-2019-11037	Nessus	Misc.	2025/8/27	2025/8/27	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical