この更新では、imagemagickでの多数の脆弱性を修正しています:  無効な形式のXCF、VIFF、BMP、サムネイル、CUT、PSD、TXT、XBM、PCX、MPC、WPG、TIFF、SVG、フォント、EMF、PNG、または他のタイプのファイルが処理される場合、さまざまなメモリ処理の問題や欠如または不完全な入力サニタイジングにより、サービス拒否、メモリ漏洩、またが任意のコード実行が引き起こされる可能性があります。

Debian 7「Wheezy」では、これらの問題は、バージョン8:6.7.7.10-5+deb7u17で修正されました。

お使いの imagemagick パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このImageMagickの更新では、いくつかの問題を修正しています。これらのセキュリティの問題が修正されました：

  - CVE-2017-14343：細工されたxcfイメージファイルを介したcoders/xcf.cのReadXCFImageにおけるメモリリークの脆弱性が修正されました（bsc#1058422）。

  - CVE-2017-12691：coders/xcf.cのReadOneLayer関数により、リモートの攻撃者が、細工されたファイルを介して、サービス拒否（メモリ消費）を引き起こすことが可能でした（bsc#1058422）。

  - CVE-2017-14042：coders/pnm.cのReadPNMImage関数のメモリ割り当てエラーを回避します。この脆弱性により、大きなメモリ割り当てが発生したため、magick/memory.cのMagickRealloc関数でリモートのサービス拒否に至った可能性があります（bsc#1056550）。

  - CVE-2017-15281：coders/psd.cのReadPSDImageより、リモートの攻撃者が細工されたファイルを介してサービス拒否（アプリケーションクラッシュ）を引き起こしたり、詳細不明なその他の影響を与えることが可能でした（bsc#1063049）。

  - CVE-2017-13061：coders/pcd.c内の関数ReadPSDLayersInternalの長さ検証の脆弱性により、リモートの攻撃者が細工したファイルを介してサービス拒否（ReadPSDImageメモリの枯渇）を引き起こすことが可能でした（bsc#1055063）。

  - CVE-2017-12563：- coders/pds.cの関数ReadPSDImageのメモリ枯渇の脆弱性により、攻撃者がサービス拒否を引き起こすことが可能でした（bsc#1052460）。

  - CVE-2017-14174：EOF（エンドオブファイル）チェックの欠如により、ReadPSDLayersInternal()のDoSに許可されたcoder/psd.cが、大量のCPU消費を引き起こした可能性があります。ヘッダーで大きな「長さ」フィールドを要求するものの、十分なバッキングデータが含まれていない細工されたPSDファイルが提供される場合、ループ内にEOFチェックがないため、「長さ」に対するループが膨大なCPUリソースを消費します（bsc#1057723）。

  - CVE-2017-13062：coders/meta.cの関数formatIPTCのメモリリークの脆弱性により、リモートの攻撃者が細工したファイルを介してサービス拒否（WriteMETAImageメモリ消費）を引き起こすことが可能でした（bsc#1055053）。

  - CVE-2017-15277：グローバルとローカルのどちらのパレットも持たないGIFファイルを処理する場合、coders/gif.cのReadGIFImageでパレットが初期化されていない状態になりました。影響を受ける製品が、対象データを操作するプロセスにロードされるライブラリとして使用される場合、このデータは初期化されていないパレットから漏洩する可能性があります（bsc#1063050）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Debianのバグ : 870020 870019 876105 869727 886281 873059 870504 870530 870107 872609 875338 875339 875341 873871 873131 875352 878506 875503 875502 876105 876099 878546 878545 877354 877355 878524 878547 878548 878555 878554 878548 878555 878554 878579 885942 886584 928206 941670 931447 932079

Imagemagickで複数のセキュリティ脆弱性が見つかりました。不正な形式の画像ファイルが処理される場合、さまざまなメモリ処理の問題があり、入力サニタイズが欠如しているか不完全であるならば、サービス拒否、メモリまたはCPUの消費、または任意コードの実行が発生する可能性があります。

Debian 9「Stretch」では、これらの問題はバージョン8:6.9.7.4+dfsg-11+deb9u10で修正されています。

お使いの imagemagick パッケージをアップグレードすることを推奨します。

imagemagick の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/imagemagick

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このImageMagick用の更新プログラムでは、以下の問題を修正します：

  - セキュリティの更新（xcf.c）：

  - CVE-2017-14343：ReadXCFImageにおけるメモリリークの脆弱性により、細工されたファイルを介してサービス拒否が発生する可能性があります。CVE-2017-12691：coders/xcf.cのReadOneLayer関数により、リモートの攻撃者が、細工されたファイルを介して、サービス拒否（メモリ消費）を引き起こすことが可能でした[bsc#1058422]。

  - セキュリティの更新（pnm.c）：

  - CVE-2017-14042：coders/pnm.cのReadPNMImage関数でメモリ割り当ての失敗が発見され、リモートのサービス拒否が発生する可能性があります[bsc#1056550]

  - セキュリティの更新（psd.c）：

  - CVE-2017-15281：ReadPSDImageより、リモートの攻撃者が細工されたパケットを介してサービス拒否（アプリケーションクラッシュ）を引き起こしたり、詳細不明なその他の影響を与えることが可能です[bsc#1063049]

  - CVE-2017-13061：coders/pcd.c内の関数ReadPSDLayersInternalで長さ検証の脆弱性が見つかり、リモートの攻撃者が細工したファイルを介してサービス拒否（ReadPSDImageメモリの枯渇）を引き起こすことが可能です。[bsc#1055063]

  - CVE-2017-12563：- coders/pds.cの関数ReadPSDImageでメモリ枯渇の脆弱性が見つかり、攻撃者がサービス拒否を引き起こすことが可能です。
    [bsc#1052460]

  - CVE-2017-14174：ReadPSDLayersInternalのEOF（エンドオブファイル）チェックの欠如により、ヘッダーで大きな「長さ」フィールドを消費するものの十分な補助データを含まない細工されたPSDファイルが提供される場合、大量のCPU消費が引き起こされる可能性があります。ループ内にEOFチェックがないため、\'length\'上のループは大量のCPUリソースを消費します。[bsc#1057723]

  - セキュリティの更新（meta.c）：

  - CVE-2017-13062：coders/meta.c内の関数formatIPTCでメモリリークの脆弱性が見つかり、リモートの攻撃者が細工したファイルを介してサービス拒否（WriteMETAImageメモリ消費）を引き起こす可能性があります[bsc#1055053]

  - セキュリティ更新（gif.c）：

  - CVE-2017-15277：グローバルとローカルのどちらのパレットも持たないGIFファイルを処理する際に、coders/gif.cのReadGIFImageでパレットが初期化されていない状態になりました。影響を受ける製品が、対象データを操作するプロセスにロードされるライブラリとして使用される場合、このデータは初期化されていないパレットから漏洩する可能性があります。[bsc#1063050]

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このImageMagick用の更新プログラムでは、以下の問題を修正します：

  - セキュリティの更新（xcf.c）：

  - CVE-2017-14343：ReadXCFImageにおけるメモリリークの脆弱性により、細工されたファイルを介してサービス拒否が発生する可能性があります。CVE-2017-12691：coders/xcf.cのReadOneLayer関数により、リモートの攻撃者が、細工されたファイルを介して、サービス拒否（メモリ消費）を引き起こすことが可能でした[bsc#1058422]。

  - セキュリティの更新（pnm.c）：

  - CVE-2017-14042：coders/pnm.cのReadPNMImage関数でメモリ割り当ての失敗が発見され、リモートのサービス拒否が発生する可能性があります[bsc#1056550]

  - セキュリティの更新（psd.c）：

  - CVE-2017-15281：ReadPSDImageより、リモートの攻撃者が細工されたパケットを介してサービス拒否（アプリケーションクラッシュ）を引き起こしたり、詳細不明なその他の影響を与えることが可能です[bsc#1063049]

  - CVE-2017-13061：coders/pcd.c内の関数ReadPSDLayersInternalで長さ検証の脆弱性が見つかり、リモートの攻撃者が細工したファイルを介してサービス拒否（ReadPSDImageメモリの枯渇）を引き起こすことが可能です。[bsc#1055063]

  - CVE-2017-12563：- coders/pds.cの関数ReadPSDImageでメモリ枯渇の脆弱性が見つかり、攻撃者がサービス拒否を引き起こすことが可能です。
    [bsc#1052460]

  - CVE-2017-14174：ReadPSDLayersInternalのEOF（エンドオブファイル）チェックの欠如により、ヘッダーで大きな「長さ」フィールドを消費するものの十分な補助データを含まない細工されたPSDファイルが提供される場合、大量のCPU消費が引き起こされる可能性があります。ループ内にEOFチェックがないため、\'length\'上のループは大量のCPUリソースを消費します。[bsc#1057723]

  - セキュリティの更新（meta.c）：

  - CVE-2017-13062：coders/meta.c内の関数formatIPTCでメモリリークの脆弱性が見つかり、リモートの攻撃者が細工したファイルを介してサービス拒否（WriteMETAImageメモリ消費）を引き起こす可能性があります[bsc#1055053]

  - セキュリティ更新（gif.c）：

  - CVE-2017-15277：グローバルとローカルのどちらのパレットも持たないGIFファイルを処理する際に、coders/gif.cのReadGIFImageでパレットが初期化されていない状態になりました。影響を受ける製品が、対象データを操作するプロセスにロードされるライブラリとして使用される場合、このデータは初期化されていないパレットから漏洩する可能性があります。[bsc#1063050]

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

リモートホストは、GLSA-201711-07（ImageMagick：複数の脆弱性）で説明されている脆弱性に影響されています。複数の脆弱性がImageMagickで発見されています。詳細については、記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、ユーザーを誘導して特別に細工されたファイルを処理させることで、機密情報を取得したり、サービス拒否状態を引き起こしたり、他の不特定の影響を与えたりする可能性があります。回避策：現時点では、既知の回避策はありません。

ImageMagickが不正な形式の特定の画像ファイルを不適切に処理することがわかりました。ImageMagickを使用するユーザーまたは自動化されたシステムが誘導されて特別に細工された画像を開くと、攻撃者がこれを悪用して、サービス拒否を引き起こしたり、プログラムを呼び出すユーザーの権限でコードを実行したりする可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Imagemagickで、多数のセキュリティ脆弱性が修正されました。不正な形式の画像ファイルが処理される場合、さまざまなメモリ処理の問題があり、入力サニタイズが欠如しているか不完全であるならば、サービス拒否、メモリまたはCPUの消費、または任意コードの実行が発生する可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン8:6.8.9.9-5+deb8u16で修正されました。

お使いのimagemagickパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
103756	Debian DLA-1131-1: imagemagick セキュリティ更新	Nessus	Debian Local Security Checks	2017/10/11	2021/1/11	high
105719	SUSE SLES11セキュリティ更新プログラム：ImageMagick（SUSE-SU-2018:0043-1）	Nessus	SuSE Local Security Checks	2018/1/10	2021/1/19	high
140297	Debian DLA-2366-1: imagemagick セキュリティ更新	Nessus	Debian Local Security Checks	2020/9/8	2024/2/21	critical
105579	SUSE SLED12 / SLES12セキュリティ更新プログラム：ImageMagick（SUSE-SU-2018:0017-1）	Nessus	SuSE Local Security Checks	2018/1/4	2019/9/10	high
105640	openSUSEセキュリティ更新プログラム：ImageMagick（openSUSE-2018-7）	Nessus	SuSE Local Security Checks	2018/1/8	2021/1/19	high
104515	GLSA-201711-07：ImageMagick：複数の脆弱性	Nessus	Gentoo Local Security Checks	2017/11/13	2021/1/11	critical
110516	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS : ImageMagick の脆弱性 (USN-3681-1)	Nessus	Ubuntu Local Security Checks	2018/6/13	2023/10/21	critical
125093	DebianDLA-1785-1: imagemagickのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/5/15	2021/1/11	critical

検出

プラグインの検索

high

high

critical

high

high

critical

critical

critical