JVNDB-2005-000194

ImageMagick の TIFF タグの取り扱いにおけるサービス運用妨害 (DoS) の脆弱性

------------
本脆弱性情報は、同時期に公開された複数の脆弱性について、まとめて解説したものです。タイトル以外の他の脆弱性情報の内容が含まれていますので予めご了承ください。
------------

ImageMagick は、X Window システム上で画像の表示や対話的な画像操作を行なうためのアプリケーションです。

ImageMagick 5.x/6.x には、特定の形式の画像ファイルを取り扱うことでサービス不能状態に陥る以下の複数の問題が存在します。

・ImageMagick 5.5.7 以前における TIFF タグの取り扱いの不備により、無効なタグを含んだ TIFF 形式の画像ファイルを処理した場合、サービス不能状態に陥る問題 (CAN-2005-0759)

・ImageMagick 5.5.7 以前における TIFF デコーダの不備により、意図的に作成された TIFF ファイルを処理した場合、サービス不能状態に陥る問題 (CAN-2005-0760)

・PSD (Photoshop Document) 形式の画像ファイルの取り扱いの不備により、意図的に作成された PSD ファイルを処理した場合、サービス不能状態に陥る問題 (CAN-2005-0761)

・ImageMagick 6.0.1 以前における SGI 形式の画像ファイルの取り扱いの不備により、バッファオーバーフローが発生する問題 (CAN-2005-0762)

これらの問題を利用するリモートの攻撃者は、意図的に作成した TIFF、PSD、または SGI 形式の画像ファイルを ImageMagick より開くように標的ユーザを誘導することにより、結果として ImageMagick をサービス不能状態に陥らせることが可能です。また、CAN-2005-0762 の問題を利用することにより、ImageMagick を実行する標的ユーザの権限で任意のコードを実行できる可能性があります。

尚、現時点では CAN-2005-0761 の問題の影響を受ける詳細なバージョンについては不明ですが、ImageMagick 6.2.0-8 以降においては解消されています。

ターボリナックス

• Turbolinux Server 7  
• Turbolinux Server 8  
• Turbolinux Server 10  

レッドハット

• Red Hat Enterprise Linux 2.1 (as) 
• Red Hat Enterprise Linux 3 (as) 
• Red Hat Enterprise Linux 2.1 (es) 
• Red Hat Enterprise Linux 3 (es) 
• Red Hat Enterprise Linux 2.1 (ws) 
• Red Hat Enterprise Linux 3 (ws) 

本脆弱性に伴う影響については、「概要」をご参照ください。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

オラクル

• SECURITY BLOG : Multiple vulnerabilities in ImageMagick

ターボリナックス

• Turbolinux Security Advisory (英語) : TLSA-2005-47
• 製品セキュリティ情報 : TLSA-2005-47

レッドハット

• Red Hat Security Advisory : RHSA-2005:070
• レッドハット セキュリティーアップデート : RHSA-2005:070

1. CVE-2005-0759

1. National Vulnerability Database (NVD) : CVE-2005-0759
2. SecurityFocus : 12873
3. SecurityFocus : 12874
4. SecurityFocus : 12875
5. SecurityFocus : 12876

• [2007年04月01日]
    掲載
  [2012年06月26日]
    ベンダ情報：オラクル (Multiple vulnerabilities in ImageMagick) を追加