URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 107842
[ Назад ]
Исходное сообщение
"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено opennews , 09-Май-16 12:06 
Разработчики проекта GraphicsMagick (http://www.graphicsmagick.org/), ответвившегося от ImageMagick в 2002 году, опубликовали (https://sourceforge.net/p/graphicsmagick/mailman/message/350.../) результаты анализа критических уязвимостей, недавно выявленных (https://www.opennet.me/opennews/art.shtml?num=44371) в ImageMagick. Отмечается, что несмотря на дополнительные проверки аргументов, GraphicsMagick оказался уязвим при применении немного изменённого вектора атаки.


Атака по организации выполнения произвольных shell-команд может быть организована в GraphicsMagick  через файлы в формате "gplt", которые обрабатывается через запуск gnuplot, вызываемый при помощи функции system() с группировкой аргументов в одной строке. Для блокирования атаки достаточно удалить запись "gplt" в файле  delegates.mgk.


GraphicsMagick также подвержен проблемам с обработкой MVG на основании заголовков (MVG будет обработан даже если файл поставляется в .jpg или с любым другим расширением). Отмечается и подверженность уязвимостям CVE-2016-3718 (инициирования внешних запросов HTTP GET или FTP) и CVE-2016-3715 (удаление файлов при обработке специально оформленных изображений).


URL: http://seclists.org/oss-sec/2016/q2/280
Новость: http://www.opennet.me/opennews/art.shtml?num=44391

Содержание
Сообщения в этом обсуждении
"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено h31 , 09-Май-16 12:06 
Народ, а кто вообще пользуется GraphicsMagick? Зачем он нужен, если есть ImageMagick?
"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено Аноним , 09-Май-16 12:17 
Он быстрее от 2 до 4 раз, меньше жрёт памяти, все утилиты через единый `gm <cmd>`.
При этом по API почти совместим с оригиналом. Разница примерно такая же, как между mysql и mariadb.

Если вдруг авторам I/M моча в голову ударит - юзеры хмыкнут и переключатся на G/M почти бесшовно.

"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено ano , 09-Май-16 16:27 
откуда инфа про 2-4 раза и память?
"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено Аноним , 10-Май-16 00:59 
Личный опыт. Плотно юзал и частично переделывал debian'овскую findimagedupes.
"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено prokoudine , 09-Май-16 16:57 
> Народ, а кто вообще пользуется GraphicsMagick?

Все, кто пользуется Scribus, например.

"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено Ник , 09-Май-16 19:01 
GM умеет параллелиться по ядрам. Но мы откатились на IM из-за чуть лучшего качества изображения после ресайза и пары каких-то функций, которые на GM не удалось запустить вообще.
"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено pauc , 09-Май-16 22:51 
IM вполне себе по ядрам раскладывается. Только криво синхронизируется. Но на одной задаче выигрыш заметен. Env MAGICK_THREAD_LIMIT.
"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено Аноним , 09-Май-16 14:31 
Вот бы ещё Mesa форкнули без впиливания туда LLVM.
"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено Аноним , 09-Май-16 17:28 
> Вот бы ещё Mesa форкнули без впиливания туда LLVM.

Напишешь кодогенератор для gcn? Если у тебя что-то другое, можешь сам собрать без него.

"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено Аноним , 10-Май-16 12:47 
И ради чего? Первый раз вижу человека недовольного ллвм в месе. Это какая-то борьба с ветряными мельницами?
"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено Led , 10-Май-16 15:59 
> И ради чего? Первый раз вижу человека недовольного ллвм в месе. Это
> какая-то борьба с ветряными мельницами?

ллвм - это ветряные мельницы?

"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено омномнимус , 09-Май-16 17:17 
>вызываемый при помощи функции system()

а кто-то еще пхпешников называет говнокодерами, лол.

"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено Аноним , 10-Май-16 00:36 
> а кто-то еще пхпешников называет го внокодерами, лол.

Так не врут - https://www.opennet.me/opennews/art.shtml?num=44390

"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено омномномнимус , 10-Май-16 15:47 
так я же и не отрицаю наличия таких среди пхпшников. Просто одновременно с наездом на них обычно еще и подразумевают, что в pure-c, python etc проблем с кодерами нет и они все выдают сразу же безбажный и неломаемый код :-)
"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено Аноним , 09-Май-16 18:15 
Когда ImageMagick починит нормальную работу в OpenCL:

Пытается вылести из песочницы при доступе к /dev/dri/card*

например, когда выполняешь:

$ /usr/bin/mogrify -version

"Разработчики GraphicsMagick проанализировали подверженность ..."
Отправлено Омский линуксоид , 09-Май-16 23:50 
Омские линуксоиды ждут анализа GraphicsMagick от разработчиков ImageMagick...