一個(gè)月后，圖像處理軟件ImageMagick再次被發(fā)現存在高危漏洞(CVE-2016-5118)，可導致本地或可能的遠程代碼執行，由ImageMagick5.5.2 發(fā)展出來(lái)的圖像處理軟件GraphicsMagick亦存在此漏洞。

ImageMagick是一款開(kāi)源的圖像處理軟件，該軟件能用作創(chuàng )建、編輯、合成圖片，支持多種編程語(yǔ)言，包括Perl、C++、PHP、Python、Ruby和NodeJS等，因此被眾多網(wǎng)站大量應用于識別、裁剪、或調整用戶(hù)上傳的圖片。

GraphicsMagick是ImageMagick的一個(gè)分支，號稱(chēng)圖像處理領(lǐng)域的瑞士軍刀。 短小精悍的代碼卻提供了一個(gè)魯棒、高效的工具和庫集合，來(lái)處理圖像的讀取、寫(xiě)入等操作，支持超過(guò)88種圖像格式，包括重要的DPX、GIF、JPEG、JPEG-2000、PNG、PDF、PNM和TIFF，可以在Linux、Mac、Windows等絕大多數的平臺上使用。GaphicsMagick支持大圖片的處理，能夠動(dòng)態(tài)的生成圖片，特別適用于互聯(lián)網(wǎng)的應用。GaphicsMagick不僅支持命令行的模式，同時(shí)也支持C、C++、Perl、PHP、Tcl、Ruby等的調用。

漏洞危害

當GraphicsMagick和ImageMagick打開(kāi)文件時(shí)，如果文件名的第一個(gè)字符為“|”，則文件名會(huì )被傳遞給shell程序使用POSIX函數popen()執行，文件打開(kāi)操作由源文件blob.c中的OpenBlob()函數處理。攻擊者可借助文件名利用該漏洞執行shell代碼。

影響范圍

此漏洞可影響眾多網(wǎng)站、博客、社交媒體平臺和內容管理系統(CMS)，例如WordPress、Drupal等各種可上傳圖片的網(wǎng)站，特別是可批量裁剪圖片的網(wǎng)站。對企業(yè)用戶(hù)威脅較大。

漏洞檢測

啟明星辰天鏡脆弱性?huà)呙枧c管理系統V6.0目前已經(jīng)支持對該漏洞進(jìn)行檢測：

請天鏡脆弱性?huà)呙枧c管理系統V6.0產(chǎn)品的用戶(hù)盡快升級到最新版本，及時(shí)對該漏洞進(jìn)行檢測，以便盡快采取防范措施。

漏洞庫升級

天鏡脆弱性?huà)呙枧c管理系統V6.0已于2016年6月2日緊急發(fā)布針對ImageMagick漏洞的升級包，用戶(hù)升級天鏡漏掃產(chǎn)品漏洞庫后即可對ImageMagick漏洞進(jìn)行掃描：

6070版本升級包為607000024，升級包下載地址：

http://www.venustech.com.cn/DownFile/575/

6061版本升級包為6000458，升級包下載地址：

http://www.venustech.com.cn/DownFile/456/

漏洞修復建議

方案一：修改源代碼，重新編譯GraphicsMagick和ImageMagick

GraphicsMagick在文件magick/blob.c中增加以下內容：

#undef HAVE_POPEN

ImageMagick在文件MagickCore/blob.c中增加：

#undef MAGICKCORE_HAVE_POPEN

在配置文件中增加如下內容:

<policy domain="path" rights="none" pattern="|*" />

方案二：關(guān)注官方網(wǎng)站，及時(shí)升級到最新版本

目前廠(chǎng)商已經(jīng)發(fā)布了升級補丁以修復此安全問(wèn)題，詳情請關(guān)注廠(chǎng)商主頁(yè)：  http://www.graphicsmagick.org/

PS：?jiǎn)⒚餍浅竭€貼心提供ImageMagick&GraphicsMagick本地漏洞檢測工具，提供給沒(méi)有天鏡脆弱性?huà)呙枧c管理系統V6.0產(chǎn)品的用戶(hù)對該漏洞進(jìn)行檢測：

 1.運行ImageMagick-graphicmagic.py；

 2. 執行結果如下：

有需要的用戶(hù)請聯(lián)系啟明星辰當地客戶(hù)代表獲取本地漏洞檢測工具。