2016-0722: ImageMagick: Mehrere Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2016-05-06 19:25)

Neues Advisory

Version 2 (2016-05-09 12:17)

Es stehen Sicherheitsupdates für die SUSE Linux Enterprise Produkte Workstation Extension, Software Development Kit, Server und Desktop in den Versionen 12 und 12-SP1 sowie für die Distributionen openSUSE 13.2 und openSUSE Leap 42.1 bereit.

Version 3 (2016-05-10 12:26)

Die Entwickler von GraphicsMagick, einer Abspaltung von ImageMagick, informieren über die Auswirkungen der Schwachstellen auf Produkte, die GraphicsMagick verwenden und stellen verschiedene Patches für GraphicsMagick 1.3.x zur Verfügung. Die Schwachstelle CVE-2016-3714, die zur Ausführung von Programmcode ausgenutzt werden kann, besteht auch in GraphicsMagick, wenn 'gnuplot' installiert ist. Aufgrund der auch in GraphicsMagick bestehenden Schwachstellen kann der für TYPO3 angegebene Workaround, einen Wechsel auf die Bilddateimanipulationsengine GraphicsMagick vorzunehmen, nicht mehr uneingeschränkt empfohlen werden, bevor nicht die entsprechenden Patches installiert wurden. Red Hat stellt für verschiedene Red Hat Enterprise Linux 6 und 7 Produkte Sicherheitsupdates für ImageMagick bereit. F5 Networks veröffentlicht für die Schwachstelle CVE-2016-3714 die Sicherheitsinformation sol03151140. Während das BIG-IP Protocol Security Module in keiner Version verwundbar ist, existieren u.a. einzelne andere BIG-IP-Produkte, die über die Schwachstelle angreifbar sind.

Version 4 (2016-05-12 13:40)

Für SUSE OpenStack Cloud 5, SUSE Manager Proxy 2.1, SUSE Manager 2.1, SUSE Linux Enterprise Software Development Kit 11 SP4 sowie die SUSE Linux Enterprise Server 11 SP2 LTSS, SP3 LTSS und SP4 stehen Sicherheitsupdates für ImageMagick und für SUSE Studio Onsite 1.3 und dem SUSE Linux Enterprise Software Development Kit 11 SP4 für GraphicsMagick bereit.

Version 5 (2016-05-17 12:01)

Für die stabile Distribution Debian Jessie steht ein Sicherheitsupdate bereit. F5 Networks veröffentlicht nach der Sicherheitsinformation sol03151140 für die Schwachstelle CVE-2016-3714 jetzt auch die Informationen sol10550253 für CVE-2016-3715, sol25102203 für CVE-2016-3716, sol29154575 für CVE-2016-3717 und sol61974123 für CVE-2016-3718. Das BIG-IP Protocol Security Module ist in keiner Version durch eine der Schwachstellen verwundbar, allerdings existieren andere BIG-IP Produkte, die angreifbare Versionen besitzen. SUSE stellt für die Produkte OpenStack Cloud 5, Manager Proxy 2.1, Manager 2.1, SUSE Linux Enterprise Software Development Kit 11 SP4 sowie Server 11 SP4, 11 SP3 LTSS und 11 SP2 LTSS weitere Sicherheitsupdates für die Schwachstelle CVE-2016-3714 zur Verfügung.

Version 6 (2016-05-18 17:30)

Für die Distributionen openSUSE 13.2 und openSUSE Leap 42.1 stehen Sicherheitsupdates für GraphicsMagick bereit, durch die alle Schwachstellen außer CVE-2016-3716 adressiert werden.

Betroffene Software

Office
Systemsoftware

Betroffene Plattformen

Hardware
Netzwerk
F5
Linux

Beschreibung:

In der Standardinstallation von ImageMagick bestehen mehrere Schwachstellen durch die Möglichkeit, bestimmte Prozessschritte bei der Verarbeitung von Bildern durch externe Programme und Bibliotheken ausführen zu lassen. Diese Funktionalität ist als 'Delegates' bekannt und über die Dateien 'delegates.xml' und 'policy.xml' konfigurierbar. Ein entfernter, nicht authentifizierter Angreifer kann mit Hilfe speziell präparierter Bilddateien beliebigen Programmcode ausführen, beliebige Dateien lesen, verschieben oder löschen und den betroffenen Server für Server-Side-Request-Forgery-Angriffe nutzen.

Aufgrund der relativ einfach ausnutzbaren Schwachstellen ist davon auszugehen, dass bereits Exploits für die Schwachstellen existieren. Der Hersteller informiert in einem Forumsbeitrag (ImageMagick Security Issue Announcement) über die Ursache der Schwachstellen und stellt die Versionen ImageMagick 6.9.3-10 und 7.0.1-1 als Sicherheitsupdates zur Verfügung.

Schwachstellen:

CVE-2016-3714

Schwachstelle in ImageMagick ermöglicht Ausführung beliebigen Programmcodes

CVE-2016-3715

Schwachstelle in ImageMagick ermöglicht Löschen von Dateien

CVE-2016-3716

Schwachstelle in ImageMagick / GraphicsMagick ermöglicht Verschieben von Dateien

CVE-2016-3717

Schwachstelle in ImageMagick / GraphicsMagick ermöglicht Ausspähen von Informationen

CVE-2016-3718

Schwachstelle in ImageMagick / GraphicsMagick ermöglicht Server-Side-Request-Forgery-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.