DFN-CERT Portal

Schwachstellen

DFN-CERT-2017-2326: ImageMagick: Mehrere Schwachstellen ermöglichen verschiedene Denial-of-Service-Angriffe

Historie

Version 1 (2017-12-29 11:38)
Neues Advisory

Betroffene Software

ImageMagick

Betroffene Plattformen

Debian Linux 9.3 Stretch

Lösung

Patch

Debian Security Advisory DSA-4074-1

Beschreibung

Mehrere Schwachstellen in ImageMagick ermöglichen einem entfernten, nicht authentisierten Angreifer die Ausführung von Denial-of-Service (DoS)-Angriffen und möglicherweise weiteren Angriffen.

Debian stellt für die stabile Distribution (Stretch) ein Sicherheitsupdate für 'imagemagick' in Version '8:6.9.7.4+dfsg-11+deb9u4' zur Behebung der Schwachstellen bereit.

Schwachstellen

CVE-2017-17879: Schwachstelle in ImageMagick ermöglicht Denial-of-Service-Angriff

In der Funktion 'ReadOneMNGImage' in 'coders/png.c' in ImageMagick Version 7.0.7-16 Q16 kann es zu Lesezugriffen außerhalb von Puffergrenzen auf dem Heap (Heap-based Buffer Over-read) kommen. Dies ermöglicht einem entfernten, nicht authentisierten Angreifer die Ausführung eines Denial-of-Service (DoS)-Angriffes, wenn es ihm gelingt, einen Benutzer dazu zu verleiten, eine schädlich präparierte Datei zu öffnen.

CVE-2017-17504: Schwachstelle in ImageMagick ermöglicht Denial-of-Service-Angriff

In der Funktion 'Magick_png_read_raw_profile' in 'coders/png.c' in ImageMagick vor Version 7.0.7-12 kann es zu Lesezugriffen außerhalb von Puffergrenzen auf dem Heap (Heap-based Buffer Over-read) kommen. Dies ermöglicht einem entfernten, nicht authentisierten Angreifer die Ausführung eines Denial-of-Service (DoS)-Angriffes, wenn es ihm gelingt, einen Benutzer dazu zu verleiten, eine schädlich präparierte Datei zu öffnen.

CVE-2017-17499: Schwachstelle in ImageMagick ermöglicht Denial-of-Service-Angriff

In der Funktion 'Magick::Image::read' in 'Magick++/lib/Image.cpp' in ImageMagick vor Version 7.0.7-12 kann es zur Benutzung von bereits freigegebenen Speicher (Use-after-Free) kommen. Dies ermöglicht einem entfernten, nicht authentisierten Angreifer die Ausführung eines Denial-of-Service (DoS)-Angriffes und möglicherweise weiterer Angriffe, wenn es ihm gelingt, einen Benutzer dazu zu verleiten, eine schädlich präparierte Datei zu öffnen.

CVE-2017-16546: Schwachstelle in ImageMagick und GraphicsMagick ermöglicht u.a. Denial-of-Service-Angriff

In der Funktion 'ReadWPGImage' in 'coders/wpg.c' in ImageMagick 7.0.7-9 existiert eine Schwachstelle aufgrund einer fehlerhaften Überprüfung des Farbpaletten-Index in einer WPG-Palette. Dies ermöglicht einem Angreifer den Zugriff auf nicht initialisierte Daten oder die Zuweisung fehlerhafter Daten. In der Folge kann der entfernte, nicht authentisierte Angreifer einen Denial-of-Service (DoS)-Angriff oder andere nicht weiter spezifizierte Angriffe durchführen. Voraussetzung ist, dass es ihm gelingt, einen Benutzer dazu zu verleiten eine schädlich präparierte WPG-Datei zu öffnen.

CVE-2017-12877: Schwachstelle in ImageMagick ermöglicht Denial-of-Service-Angriff

Eine Schwachstelle in 'coders/mat.c' in ImageMagick erlaubt den Zugriff auf bereits freigegebenen Speicher (Use-after-Free). Dies ermöglicht einem entfernten, nicht authentisierten Angreifer die Ausführung eines Denial-of-Service (DoS)-Angriffes, wenn es ihm gelingt, einen Benutzer dazu zu verleiten, eine schädlich präparierte Datei zu öffnen.

Referenzen

© DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf des schriftlichen Einverständnisses des Rechteinhabers.