The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]



"Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от opennews (??), 16-Июн-19, 12:23 
Представлен (http://www.graphicsmagick.org/NEWS.html#june-15-2019) новый выпуск пакета для обработки и преобразования изображений
GraphicsMagick 1.3.32 (http://www.graphicsmagick.org/), в котором устранены 52 потенциальные уязвимости, выявленные в ходе fuzzing-тестирования проектом OSS-Fuzz (https://www.opennet.ru/opennews/art.shtml?num=45602).


Всего с февраля 2018 года при помощи OSS-Fuzz было выявлено 343 проблемы, из которых 331 уже устранены в GraphicsMagick (для оставшихся 12 пока не истёк 90-дневный срок, отводимый на исправление). Отдельно
отмечается (https://www.openwall.com/lists/oss-security/2019/06/15/2), что OSS-Fuzz также используется для проверки смежного проекта ImageMagick (https://imagemagick.org/), в котором в настоящее время остаются неустранёнными более 100 проблем, информация о которых уже доступна публично после истечения времени на исправление.

Кроме потенциальных проблем, выявленных проектом OSS-Fuzz, в GraphicsMagick 1.3.32 также устранено 14 уязвимостей, которые могут привести к переполнению буфера при обработке специально оформленных изображений в форматах SVG, BMP, DIB, MIFF, MAT, MNG, TGA,
TIFF, WMF и XWD. Из не связанных с безопасностью улучшений выделяется расширение поддержки WebP  и возможность записи изображений в формате Braille для просмотра незрячими.

Также отмечается удаление из GraphicsMagick 1.3.32 возможности, которая может использоваться для организации утечки данных. Проблема касается обработки нотации "@имяфайла" для форматов SVG и WMF, позволяющей вывести поверх изображения или включить в состав метаданных текст, присутствующий в указанном файле. Потенциально при отсутствии в web-приложениях должной проверки входных параметров атакующие могут воспользоваться данной функцией для получения содержимого файлов с сервера, например, ключей доступа и сохранённых паролей. Проблема также проявляется в  ImageMagick.

URL: https://www.openwall.com/lists/oss-security/2019/06/15/9
Новость: https://www.opennet.ru/opennews/art.shtml?num=50876

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по времени | RSS]


9. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +10 +/
Сообщение от Аноним (9), 16-Июн-19, 16:45 
Открыл первый попавшийся исходник https://gitlab.com/ImageMagick/ImageMagick/blob/master/Magic...: функция на 1200 строк, парсинг аргументов вперемешку с логикой, if внутри switch внутри switch, внутри else, внутри else. Никакой обфускатор так не сможет.

Я не удивлён, что в *Magick столько уязвимостей, но я удивлён, что это всё вообще работает. Видимо название придумано не зря - именно на магии это всё и держится.

Ответить | Правка | Наверх | Cообщить модератору

16. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от Аноним (16), 16-Июн-19, 19:00 
То что ImageMagick - свалка ископаемого г.внокода ни для кого не секрет.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

17. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +2 +/
Сообщение от НяшМяш (ok), 16-Июн-19, 19:30 
Зато красивый комментарий в начале файла.
Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

22. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +1 +/
Сообщение от Наноним (?), 17-Июн-19, 06:04 
Когда твой красивый аккуратный код по всем бест практисам никому не сдался, и остаётся брызгать слюной на "уродливый", но намного более полезный
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

25. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +2 +/
Сообщение от Попугай Кеша (?), 17-Июн-19, 09:34 
Вы просто не понимаете еще, опыта мало у вас. Когда такой гений-выскочка пишет код - ему хорошо. Когда он уходит из проекта - другим нужно полгода-год, чтобы разобраться, что он понаписал.

Бест практисес не просто так же придумываются

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

1. Скрыто модератором  –4 +/
Сообщение от Аноним (1), 16-Июн-19, 12:23 
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. Скрыто модератором  –1 +/
Сообщение от A.Stahl (ok), 16-Июн-19, 13:08 
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

7. Скрыто модератором  +2 +/
Сообщение от Аноним (16), 16-Июн-19, 16:17 
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

8. Скрыто модератором  +/
Сообщение от A.Stahl (ok), 16-Июн-19, 16:27 
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

11. Скрыто модератором  +7 +/
Сообщение от Annoynymous (ok), 16-Июн-19, 17:05 
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

4. Скрыто модератором  +/
Сообщение от Аноним (4), 16-Июн-19, 15:12 
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

33. Скрыто модератором  +/
Сообщение от пох. (?), 19-Июн-19, 18:36 
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +1 +/
Сообщение от Аноним (3), 16-Июн-19, 13:45 
> 14 уязвимостей, которые могут привести к переполнению буфера

Картина Репина "Си-программисты работают с буфером"

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +8 +/
Сообщение от Аноним (4), 16-Июн-19, 15:16 
> Картина Репина "Веб-дизайнеры пишут на С"
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

6. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от OpenEcho (?), 16-Июн-19, 15:18 
Понизить их в должности до Бэйсик программиста, там явных буферов нет...
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

10. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +2 +/
Сообщение от anonymous (??), 16-Июн-19, 16:45 
Если ваша позиция с том, что Си не нужен, или в том, что GraphicsMagick нужно было писать, например, на Java, то, конечно, удачи вам, когда будете делать аналогичный проект :)
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

12. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  –3 +/
Сообщение от Аноним (3), 16-Июн-19, 17:17 
Помнишь времена, когда через ИК-порт передавали друг другу мобильные Java-игры (J2ME)? Заметь, что на тех хилых девайсах это были именно Java-, а не си-игры, и с рисованием графики там проблем не было. В особенности не было переполнений буферов.
Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

14. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  –1 +/
Сообщение от Michael Shigorinemail (ok), 16-Июн-19, 17:58 
...и уж тем более красот вроде CVE-2008-3551 не было?
Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

15. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +3 +/
Сообщение от Аноним (15), 16-Июн-19, 18:29 
А вот и Шигорин с первым попавшимся результатом Гугла по запросу "J2ME уязвимости смотреть список бесплатно без регистрации"
Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

18. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от Аноним (3), 16-Июн-19, 20:21 
Черт возьми, а ведь и впрямь линчуют негров... И [eq поспоришь блин...
Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

19. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от Аноним (19), 17-Июн-19, 01:20 
Самсунги перешивали через уязвимость в ява-машине.
Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

20. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от Аноним (19), 17-Июн-19, 01:21 
Вернее не самсунги, а сименсы.
Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

24. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от anonymous (??), 17-Июн-19, 09:23 
О да, это одно и то же, что и скоростная обработка множества больших изображений :)
Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

32. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от Аноним (32), 18-Июн-19, 17:38 
>переполнений буферов

Ваша фраза в таком виде может быть воспринята иначе, чем вы задумывали... ...или вы так и задумывали?

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

13. Скрыто модератором  –4 +/
Сообщение от Аноним (13), 16-Июн-19, 17:22 
Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

21. Скрыто модератором  +4 +/
Сообщение от Led (ok), 17-Июн-19, 01:44 
Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

23. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от Аноним (23), 17-Июн-19, 07:51 
> в GraphicsMagick 1.3.32 также устранено 14 уязвимостей, которые могут привести к переполнению буфера при обработке специально оформленных изображений в форматах SVG, BMP, DIB, MIFF, MAT, MNG, TGA, TIFF, WMF и XWD.

Какие же вы упортые, пользователи x86. Вот в процах от IBM на аппаратном уровне есть запрет выделения памяти в режиме WX (одновременно для изменения и исполнения).

Если сборщики дистров будут строго следовать главному правилу построения безопасных ОС: "все что исполняется не должно изменятся,а что изменяется исполнятся", то переполнения буфера перестанет быть потенциальной уязвимостью.

Протестируйте свой дистр с помощью paxtest на предмет корректной работы с оперативной памятью.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

26. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +1 +/
Сообщение от Аноним (26), 17-Июн-19, 11:47 
> Протестируйте свой дистр с помощью paxtest на предмет корректной работы с оперативной памятью.

Ну убедимся, что весь JIT отвалится. Что дальше?

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

27. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от Аноним84701 (ok), 17-Июн-19, 12:07 
>> Протестируйте свой дистр с помощью paxtest на предмет корректной работы с оперативной памятью.
> Ну убедимся, что весь JIT отвалится.

Не весь:
https://jandemooij.nl/blog/2015/12/29/wx-jit-code-enabled-in.../

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

29. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от Аноним (29), 17-Июн-19, 19:17 
Правильно настроение ядро Linux+PAX действительно отрубить весь код с JIT.

Почти все программы сегодня поддерживают сборку без JIT. Так в Gentoo надо указать USE="-jit".

Лучше сразу при сборке пакетов оптимизировать под ваш проц! Зачем оптимизировать (изменять код) при исполнении?

Правильная разработка программы с JIT это ветвление на два кода с JIT и без с возможностью выбора ветки в опции configure --nojit при компиляции кода.

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

28. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от Аноним84701 (ok), 17-Июн-19, 12:11 
> Если сборщики дистров будут строго следовать главному правилу построения безопасных ОС:
> "все что исполняется не должно изменятся,а что изменяется исполнятся", то переполнения
> буфера перестанет быть потенциальной уязвимостью.

Для начала им придется выкинуть питон, sh, перл.
Потому что у всех интерпретируемых ЯП с (разновидностью) eval это "не баг, а фича", совсем без переполнения буфера.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

30. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от Аноним (29), 17-Июн-19, 19:21 
Интерпретируемые языки легко ограничить с помощью chmod, chown. Создать двух пользователей, одному разрешить использовать интерпретаторы, другому нет.

Для работы в десктопе с бровзером интерпретаторы не нужны.

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

31. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от Аноним (31), 18-Июн-19, 11:29 
Скажи это половине инфраструктуры, обеспечивающей твой десктоп. Всякие firewalld, tuned, подозреваю, что и тот же gnome и энная часть утилит, которая работает "под капотом" для обеспечения приятного и уютного UX на вашем localhost-е.
Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

34. "Обновление GraphicsMagick 1.3.32 с устранением уязвимостей"  +/
Сообщение от пох. (?), 19-Июн-19, 18:39 
> Какие же вы упортые, пользователи x86. Вот в процах от IBM на

пользователи фон-неймановской архитектуры, вы хотели сказать? Догадаетесь, где сейчас все остальные архитектуры?
Правильно - в музее, рядом с вычислительной машиной Бэбиджа и памятью с троичной системой.

> аппаратном уровне есть запрет выделения памяти в режиме WX (одновременно для

очередной полуработающий костыль, это, конечно, прекрасно.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
Слёрм
Inferno Solutions
Hosting by Ihor
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2019 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру