[TYPO3-german] Mehrere Sicherheitslücken in Bildbearbeitungssoftware ImageMagick

[Guido Schulze]

hallo,

vielen dank für den hinweis!
an vielen stellen wird der einsatz der alten IM version 4.2.9 (für den 
einsatz mit typo3) geraten.
auch ich hab mich (bisher) daran gehalten.
wie sieht es damit aus? weiss jemand ob der BO auch dort auftreten kann?

gruss
guido


Fabian Koenig schrieb:
> Hoi.
> 
> Hab leider vergessen, es gestern schon zu posten,
> aber da sicher nicht alle hier aktive heise-Leser sind, sollte es mal 
> allgemein angesprochen werden:
> 
> 
> ====================================================
> Mehrere Lücken in Bildbearbeitungssoftware ImageMagick
> 
> Über mehrere Lücken im populären Open-Source-Bildbearbeitungsprogramm 
> ImageMagick können Angreifer Schadcode auf den PC eines Opfers 
> schleusen. Nach Angaben des Sicherheitsdienstleister iDefense genügt es 
> dazu, dass das Opfer ein präpariertes Bild im DCM-Format (Digital 
> Imaging and Communications in Medicine) oder als XWD (X Window Dump) 
> öffnet. Da Teile der ImageMagick-Werkzeugsammlung auch von Webdiensten, 
> etwa zum automatischen Verkleinern hochgeladener Bilder und dergleichen, 
> benutzt werden, könnten ebenfalls Server von dem Problem betroffen sein. 
> Auch andere Anwendungen greifen auf die Tools von ImageMagick zurück. 
> Alle Lücken beruhen auf Buffer Overflows beim Einlesen der Bilder.
> Anzeige
> 
> Zwar ist das DCM-Format nicht sonderlich verbreitet, laut iDefense 
> erkennt ImageMagick ein Format aber nicht an der Dateiendung im Namen, 
> sondern am Inhalt. Ein präpariertes DCM-Bild kann also auch als 
> JPG-Datei getarnt auf den Rechner gelangen. Betroffen ist ImageMagick 
> 6.3.x und 6.2.9. Im bereits verfügbaren offiziellen Release 6.3.3-5 für 
> Windows und Unix ist der Fehler behoben. Die Linux-Distributoren dürfte 
> in Kürze ebenfalls neue Pakete herausgeben.
> ====================================================
> quelle: 
> http://www.heise.de/newsticker/result.xhtml?url=/newsticker/meldung/87780&words=ImageMagick 
> 
> 
> 
> Also alle brav das IM updaten :)
> 
> mfg
> Fabian