CVE-2019-19953

GraphicsMagick: heap-based buffer over-read w funkcji EncodeImage (PICT)

CVSS 9.1v3.1pub. 2019-12-24upd. 2024-11-21

W bibliotece GraphicsMagick 1.4 (snapshot z 8 grudnia 2019 r.) wykryto podatność typu heap-based buffer over-read w funkcji EncodeImage w pliku coders/pict.c. Podatność uzyskała ocenę CVSS 9.1 i może prowadzić do ujawnienia wrażliwych danych lub awarii aplikacji.

▸ Pokaż oryginał (EN)

In GraphicsMagick 1.4 snapshot-20191208 Q8, there is a heap-based buffer over-read in the function EncodeImage of coders/pict.c.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-125 (out-of-bounds read) polega na tym, że funkcja EncodeImage w module obsługi formatu PICT odczytuje dane spoza granic zaalokowanego bufora na stercie (heap). Specjalnie spreparowany plik graficzny może spowodować, że aplikacja przetworzy pamięć wykraczającą poza przeznaczony bufor, co prowadzi do niekontrolowanego odczytu danych.

Skutki

Atakujący może doprowadzić do ujawnienia zawartości pamięci procesu (np. danych z innych struktur) oraz wywołać awarię (crash) aplikacji przetwarzającej złośliwy plik graficzny. Podatność jest dostępna zdalnie bez uwierzytelnienia i bez interakcji użytkownika.

Mitygacja

Należy zastosować patche dostępne u producenta — poprawka została opublikowana w repozytorium GraphicsMagick (rewizja 28f8bacd4bbf). Użytkownicy Debian Linux powinni zaktualizować pakiety zgodnie z ogłoszeniem debian-lts-announce z stycznia 2020 r., natomiast użytkownicy openSUSE — zgodnie z ogłoszeniami opensuse-security-announce z stycznia 2020 r.

Kogo dotyczy

GraphicsMagick 1.4 snapshot-20191208 Q8; pakiety dla Debian Linux oraz openSUSE Backports (szczegółowe wersje wskazane w referencjach producenta i dystrybucji).