CVE-2017-9098

Wysokie

Opublikowano: 19/05/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

ImageMagick przed wersją 7.0.5-2 oraz GraphicsMagick przed wersją 1.3.24 wykorzystują niezinicjalizowaną pamięć w dekoderze RLE, co pozwala atakującemu na wyciek wrażliwych informacji z pamięci procesu.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych danych w długoterminowych procesach serwera, które przetwarzają dane obrazowe dla wielu użytkowników.

Rekomendacja

Zaleca się aktualizację ImageMagick do wersji 7.0.5-2 lub nowszej oraz GraphicsMagick do wersji 1.3.24 lub nowszej, aby zlikwidować tę podatność.

Inne podatności w ImageMagick, GraphicsMagick

CVE-2016-5239Krytyczne
Funkcjonalność delegata gnuplot w ImageMagick przed wersją 6.9.4-0 oraz w GraphicsMagick umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą nieokreślonych wektorów.

Oryginalny opis (angielski, źródło NVD)

ImageMagick before 7.0.5-2 and GraphicsMagick before 1.3.24 use uninitialized memory in the RLE decoder, allowing an attacker to leak sensitive information from process memory space, as demonstrated by remote attacks against ImageMagick code in a long-running server process that converts image data on behalf of multiple users. This is caused by a missing initialization step in the ReadRLEImage function in coders/rle.c.