Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

GraphicsMagick <= 1.3.23 Betroffene Plattformen: openSUSE 13.2 openSUSE Leap 42.1 Ein entfernter, nicht authentifizierter Angreifer kann eine Schwachstelle ausnutzen, um mit Hilfe speziell präparierter Bilddateinamen beliebigen Programmcode auf Systemen auszuführen, die ImageMagick oder GraphicsMagick zur Verarbeitung von Bildern verwenden. Für openSUSE 13.2 und openSUSE Leap 42.1 stehen Sicherheitsupdates für GraphicsMagick bereit. Patch: openSUSE Security Update openSUSE-SU-2016:1521-1 https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00008.html

Patch:

openSUSE Security Update openSUSE-SU-2016:1522-1

https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00009.html

CVE-2016-5118: Schwachstelle in GraphicsMagick / ImageMagick ermöglicht
Ausführen beliebigen Programmcodes

GraphicsMagick und ImageMagick unterstützen eine Syntax zum Öffnen von
Dateien der folgenden Art. Wenn ein Dateiname mit dem Pipe-Zeichen (‘|’)
beginnt, wird der restliche Dateiname ohne weitere Überprüfung durch die
POSIX popen(3C)-Funktion an die Shell zur Ausführung weitergereicht. Dadurch
kann beliebiger Programmcode als Teil des Dateinamens eingeschleust und zur
Ausführung gebracht werden. Das Öffnen der Datei erfolgt hierbei durch die
Funktion OpenBlob() in blob.c. Im Gegensatz zu der Schwachstelle
CVE-2016-3714 wird diese Funktionalität durch die zentrale Funktion zum
Öffnen von Dateien unterstützt, anstelle eines ‘delegates’-Subsystems,
welches normalerweise zum Öffnen externer Programme verwendet wird.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0923/

Schwachstelle CVE-2016-5118 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5118

openSUSE Security Update openSUSE-SU-2016:1521-1:
https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00008.html

openSUSE Security Update openSUSE-SU-2016:1522-1:
https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00009.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.