CVE-2026-46523
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
ImageMagick to darmowe oprogramowanie open-source do edycji i manipulacji obrazami. Przed wersjami 7.1.2.23 i 6.9.13-48 spreparowany obraz MSL może wywołać użycie pamięci po zwolnieniu (heap-use-after-free). Wersje 7.1.2.23 i 6.9.13-48 naprawiają ten problem.
Ocena ryzyka
Ryzyko polega na potencjalnym wykonaniu dowolnego kodu lub awarii aplikacji podczas przetwarzania złośliwego obrazu MSL, co może zagrozić bezpieczeństwu systemu.
Rekomendacja
Zaleca się aktualizację ImageMagick do wersji 7.1.2.23 lub 6.9.13-48 oraz unikanie przetwarzania niezaufanych obrazów MSL.
Inne podatności w ImageMagick
Zobacz wszystkie- CVE-2017-17880Wysokie
W ImageMagick 7.0.7-16 Q16 x86_64 występuje błąd przepełnienia bufora na stosie w funkcji WriteWEBPImage w pliku coders/webp.c, związany z kontrolą wersji WEBP_DECODER_ABI_VERSION.
- CVE-2017-17879Wysokie
W ImageMagick 7.0.7-16 Q16 x86_64 występuje błąd przepełnienia bufora w pamięci w funkcji ReadOneMNGImage w pliku coders/png.c, związany z obliczaniem długości i spowodowany błędem off-by-one.
- CVE-2017-16546Wysokie
Funkcja ReadWPGImage w ImageMagick 7.0.7-9 nieprawidłowo waliduje indeks mapy kolorów w palecie WPG, co może prowadzić do odmowy usługi lub innych nieokreślonych skutków poprzez złośliwy plik WPG.
- CVE-2017-15281Wysokie
W funkcji ReadPSDImage w pliku coders/psd.c w ImageMagick 7.0.7-6 występuje podatność, która pozwala zdalnym atakującym na spowodowanie awarii aplikacji lub potencjalnie innych nieokreślonych skutków poprzez spreparowany plik.
- CVE-2017-15033Wysokie
Wersja 7.0.7-2 ImageMagick zawiera wyciek pamięci w funkcji ReadYUVImage w pliku coders/yuv.c.
- CVE-2017-14739Wysokie
Funkcja AcquireResampleFilterThreadSet w ImageMagick 7.0.7-4 niewłaściwie obsługuje nieudane przydzielanie pamięci, co może prowadzić do odmowy usługi poprzez dereferencję wskaźnika NULL w funkcji DistortImage.
- CVE-2017-14682Wysokie
GetNextToken w MagickCore/token.c w ImageMagick 7.0.6 umożliwia zdalnym atakującym spowodowanie odmowy usługi (przepełnienie bufora na stercie i awaria aplikacji) lub potencjalnie inny nieokreślony wpływ za pomocą spreparowanego dokumentu SVG.
- CVE-2017-14137Wysokie
W funkcji ReadWEBPImage w pliku coders/webp.c w ImageMagick 7.0.6-5 występuje problem z nadmiernym przydziałem pamięci, który zależy jedynie od pola długości w nagłówku.
- CVE-2017-13146Wysokie
W ImageMagick przed wersją 6.9.8-5 oraz 7.x przed wersją 7.0.5-6 występuje wyciek pamięci w funkcji ReadMATImage w pliku coders/mat.c.
- CVE-2017-13143Wysokie
W ImageMagick przed wersją 6.9.7-6 oraz 7.x przed 7.0.4-6 funkcja ReadMATImage w pliku coders/mat.c wykorzystuje niezainicjowane dane, co może pozwolić zdalnym atakującym na uzyskanie wrażliwych informacji z pamięci procesu.
Oryginalny opis (angielski, źródło NVD)
ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2.23 and 6.9.13-48, a crafted MSL image can trigger a heap-use-after-free. Versions 7.1.2.23 and 6.9.13-48 fix the issue.