GraphicsMagickが特定の画像ファイルを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。(CVE-2017-10794、CVE-2017-10799、CVE-2017-11102、CVE-2017-11140、CVE-2017-11403、CVE-2017-11636、CVE-2017-11637、CVE-2017-13147、CVE-2017-14042、CVE-2017-6335)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このImageMagick用の更新プログラムでは、以下の問題を修正します：

  - セキュリティの更新（xcf.c）：

  - CVE-2017-14343：ReadXCFImageにおけるメモリリークの脆弱性により、細工されたファイルを介してサービス拒否が発生する可能性があります。CVE-2017-12691：coders/xcf.cのReadOneLayer関数により、リモートの攻撃者が、細工されたファイルを介して、サービス拒否（メモリ消費）を引き起こすことが可能でした[bsc#1058422]。

  - セキュリティの更新（pnm.c）：

  - CVE-2017-14042：coders/pnm.cのReadPNMImage関数でメモリ割り当ての失敗が発見され、リモートのサービス拒否が発生する可能性があります[bsc#1056550]

  - セキュリティの更新（psd.c）：

  - CVE-2017-15281：ReadPSDImageより、リモートの攻撃者が細工されたパケットを介してサービス拒否（アプリケーションクラッシュ）を引き起こしたり、詳細不明なその他の影響を与えることが可能です[bsc#1063049]

  - CVE-2017-13061：coders/pcd.c内の関数ReadPSDLayersInternalで長さ検証の脆弱性が見つかり、リモートの攻撃者が細工したファイルを介してサービス拒否（ReadPSDImageメモリの枯渇）を引き起こすことが可能です。[bsc#1055063]

  - CVE-2017-12563：- coders/pds.cの関数ReadPSDImageでメモリ枯渇の脆弱性が見つかり、攻撃者がサービス拒否を引き起こすことが可能です。
    [bsc#1052460]

  - CVE-2017-14174：ReadPSDLayersInternalのEOF（エンドオブファイル）チェックの欠如により、ヘッダーで大きな「長さ」フィールドを消費するものの十分な補助データを含まない細工されたPSDファイルが提供される場合、大量のCPU消費が引き起こされる可能性があります。ループ内にEOFチェックがないため、\'length\'上のループは大量のCPUリソースを消費します。[bsc#1057723]

  - セキュリティの更新（meta.c）：

  - CVE-2017-13062：coders/meta.c内の関数formatIPTCでメモリリークの脆弱性が見つかり、リモートの攻撃者が細工したファイルを介してサービス拒否（WriteMETAImageメモリ消費）を引き起こす可能性があります[bsc#1055053]

  - セキュリティ更新（gif.c）：

  - CVE-2017-15277：グローバルとローカルのどちらのパレットも持たないGIFファイルを処理する際に、coders/gif.cのReadGIFImageでパレットが初期化されていない状態になりました。影響を受ける製品が、対象データを操作するプロセスにロードされるライブラリとして使用される場合、このデータは初期化されていないパレットから漏洩する可能性があります。[bsc#1063050]

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このImageMagick用の更新プログラムでは、以下の問題を修正します：

  - セキュリティの更新（xcf.c）：

  - CVE-2017-14343：ReadXCFImageにおけるメモリリークの脆弱性により、細工されたファイルを介してサービス拒否が発生する可能性があります。CVE-2017-12691：coders/xcf.cのReadOneLayer関数により、リモートの攻撃者が、細工されたファイルを介して、サービス拒否（メモリ消費）を引き起こすことが可能でした[bsc#1058422]。

  - セキュリティの更新（pnm.c）：

  - CVE-2017-14042：coders/pnm.cのReadPNMImage関数でメモリ割り当ての失敗が発見され、リモートのサービス拒否が発生する可能性があります[bsc#1056550]

  - セキュリティの更新（psd.c）：

  - CVE-2017-15281：ReadPSDImageより、リモートの攻撃者が細工されたパケットを介してサービス拒否（アプリケーションクラッシュ）を引き起こしたり、詳細不明なその他の影響を与えることが可能です[bsc#1063049]

  - CVE-2017-13061：coders/pcd.c内の関数ReadPSDLayersInternalで長さ検証の脆弱性が見つかり、リモートの攻撃者が細工したファイルを介してサービス拒否（ReadPSDImageメモリの枯渇）を引き起こすことが可能です。[bsc#1055063]

  - CVE-2017-12563：- coders/pds.cの関数ReadPSDImageでメモリ枯渇の脆弱性が見つかり、攻撃者がサービス拒否を引き起こすことが可能です。
    [bsc#1052460]

  - CVE-2017-14174：ReadPSDLayersInternalのEOF（エンドオブファイル）チェックの欠如により、ヘッダーで大きな「長さ」フィールドを消費するものの十分な補助データを含まない細工されたPSDファイルが提供される場合、大量のCPU消費が引き起こされる可能性があります。ループ内にEOFチェックがないため、\'length\'上のループは大量のCPUリソースを消費します。[bsc#1057723]

  - セキュリティの更新（meta.c）：

  - CVE-2017-13062：coders/meta.c内の関数formatIPTCでメモリリークの脆弱性が見つかり、リモートの攻撃者が細工したファイルを介してサービス拒否（WriteMETAImageメモリ消費）を引き起こす可能性があります[bsc#1055053]

  - セキュリティ更新（gif.c）：

  - CVE-2017-15277：グローバルとローカルのどちらのパレットも持たないGIFファイルを処理する際に、coders/gif.cのReadGIFImageでパレットが初期化されていない状態になりました。影響を受ける製品が、対象データを操作するプロセスにロードされるライブラリとして使用される場合、このデータは初期化されていないパレットから漏洩する可能性があります。[bsc#1063050]

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

このGraphicsMagick用更新プログラムでは、以下の問題を修正します：

  - CVE-2017-14042：特別に細工されたPNM画像による、大量のメモリ割り当てによるサービス拒否（boo#1056550）

  - CVE-2017-14504：特別に細工されたPNM画像を介したNULLポインターデリファレンス（boo#1059721）

  - CVE-2017-17498：特別に細工されたPNM画像を介したヒープベースのバッファオーバーフローによる、サービス拒否または詳細不明なその他の影響（boo#1072103）

  - CVE-2017-15277：特別に細工されたGIF画像を介した、アプリケーションからパレットデータへの情報漏洩（boo#1063050）

このImageMagickの更新では、いくつかの問題を修正しています。これらのセキュリティの問題が修正されました：

  - CVE-2017-14343：細工されたxcfイメージファイルを介したcoders/xcf.cのReadXCFImageにおけるメモリリークの脆弱性が修正されました（bsc#1058422）。

  - CVE-2017-12691：coders/xcf.cのReadOneLayer関数により、リモートの攻撃者が、細工されたファイルを介して、サービス拒否（メモリ消費）を引き起こすことが可能でした（bsc#1058422）。

  - CVE-2017-14042：coders/pnm.cのReadPNMImage関数のメモリ割り当てエラーを回避します。この脆弱性により、大きなメモリ割り当てが発生したため、magick/memory.cのMagickRealloc関数でリモートのサービス拒否に至った可能性があります（bsc#1056550）。

  - CVE-2017-15281：coders/psd.cのReadPSDImageより、リモートの攻撃者が細工されたファイルを介してサービス拒否（アプリケーションクラッシュ）を引き起こしたり、詳細不明なその他の影響を与えることが可能でした（bsc#1063049）。

  - CVE-2017-13061：coders/pcd.c内の関数ReadPSDLayersInternalの長さ検証の脆弱性により、リモートの攻撃者が細工したファイルを介してサービス拒否（ReadPSDImageメモリの枯渇）を引き起こすことが可能でした（bsc#1055063）。

  - CVE-2017-12563：- coders/pds.cの関数ReadPSDImageのメモリ枯渇の脆弱性により、攻撃者がサービス拒否を引き起こすことが可能でした（bsc#1052460）。

  - CVE-2017-14174：EOF（エンドオブファイル）チェックの欠如により、ReadPSDLayersInternal()のDoSに許可されたcoder/psd.cが、大量のCPU消費を引き起こした可能性があります。ヘッダーで大きな「長さ」フィールドを要求するものの、十分なバッキングデータが含まれていない細工されたPSDファイルが提供される場合、ループ内にEOFチェックがないため、「長さ」に対するループが膨大なCPUリソースを消費します（bsc#1057723）。

  - CVE-2017-13062：coders/meta.cの関数formatIPTCのメモリリークの脆弱性により、リモートの攻撃者が細工したファイルを介してサービス拒否（WriteMETAImageメモリ消費）を引き起こすことが可能でした（bsc#1055053）。

  - CVE-2017-15277：グローバルとローカルのどちらのパレットも持たないGIFファイルを処理する場合、coders/gif.cのReadGIFImageでパレットが初期化されていない状態になりました。影響を受ける製品が、対象データを操作するプロセスにロードされるライブラリとして使用される場合、このデータは初期化されていないパレットから漏洩する可能性があります（bsc#1063050）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
131695	Ubuntu 16.04 LTS : GraphicsMagickの脆弱性 (USN-4206-1)	Nessus	Ubuntu Local Security Checks	2019/12/4	2023/10/20	critical
105579	SUSE SLED12 / SLES12セキュリティ更新プログラム：ImageMagick（SUSE-SU-2018:0017-1）	Nessus	SuSE Local Security Checks	2018/1/4	2019/9/10	high
105640	openSUSEセキュリティ更新プログラム：ImageMagick（openSUSE-2018-7）	Nessus	SuSE Local Security Checks	2018/1/8	2021/1/19	high
105342	openSUSEセキュリティ更新プログラム：GraphicsMagick（openSUSE-2017-1386）	Nessus	SuSE Local Security Checks	2017/12/18	2021/1/19	high
105719	SUSE SLES11セキュリティ更新プログラム：ImageMagick（SUSE-SU-2018:0043-1）	Nessus	SuSE Local Security Checks	2018/1/10	2021/1/19	high

検出

プラグインの検索

critical

high

high

high

high