800+ IT
News
als RSS Feed abonnieren📚 GraphicsMagick bis 1.3.24 Utah RLE Reader CPU Exhaustion Denial of Service
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com
Es wurde eine problematische Schwachstelle in GraphicsMagick bis 1.3.24 ausgemacht. Hiervon betroffen ist eine unbekannte Funktion der Komponente Utah RLE Reader. Durch das Manipulieren mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle (CPU Exhaustion) ausgenutzt werden. Das hat Auswirkungen auf die Verfügbarkeit.
Die Schwachstelle wurde am 06.02.2017 publik gemacht. Die Verwundbarkeit wird unter CVE-2016-7448 geführt. Der Angriff kann über das Netzwerk erfolgen. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt.
Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 94018 (Amazon Linux AMI : GraphicsMagick (ALAS-2016-752)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Amazon Linux Local Security Checks zugeordnet.
Ein Upgrade auf die Version 1.3.25 vermag dieses Problem zu beheben.
Schwachstellen ähnlicher Art sind dokumentiert unter 96574, 96575, 96577 und 96578.
CVSSv3
Base Score: ≈4.3Temp Score: ≈4.1
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L/E:X/RL:O/RC:X
Zuverlässigkeit: Medium
CVSSv2
Base Score: ≈3.5 (CVSS2#AV:N/AC:M/Au:S/C:N/I:N/A:P)Temp Score: ≈3.0 (CVSS2#E:ND/RL:OF/RC:ND)
Zuverlässigkeit: Medium
CPE
- cpe:/a:graphicsmagick:graphicsmagick:1.3.0
- cpe:/a:graphicsmagick:graphicsmagick:1.3.1
- cpe:/a:graphicsmagick:graphicsmagick:1.3.2
- cpe:/a:graphicsmagick:graphicsmagick:1.3.3
- cpe:/a:graphicsmagick:graphicsmagick:1.3.4
- cpe:/a:graphicsmagick:graphicsmagick:1.3.5
- cpe:/a:graphicsmagick:graphicsmagick:1.3.6
- cpe:/a:graphicsmagick:graphicsmagick:1.3.7
- cpe:/a:graphicsmagick:graphicsmagick:1.3.8
- cpe:/a:graphicsmagick:graphicsmagick:1.3.9
- cpe:/a:graphicsmagick:graphicsmagick:1.3.10
- cpe:/a:graphicsmagick:graphicsmagick:1.3.11
- cpe:/a:graphicsmagick:graphicsmagick:1.3.12
- cpe:/a:graphicsmagick:graphicsmagick:1.3.13
- cpe:/a:graphicsmagick:graphicsmagick:1.3.14
- cpe:/a:graphicsmagick:graphicsmagick:1.3.15
- cpe:/a:graphicsmagick:graphicsmagick:1.3.16
- cpe:/a:graphicsmagick:graphicsmagick:1.3.17
- cpe:/a:graphicsmagick:graphicsmagick:1.3.18
- cpe:/a:graphicsmagick:graphicsmagick:1.3.19
- cpe:/a:graphicsmagick:graphicsmagick:1.3.20
- cpe:/a:graphicsmagick:graphicsmagick:1.3.21
- cpe:/a:graphicsmagick:graphicsmagick:1.3.22
- cpe:/a:graphicsmagick:graphicsmagick:1.3.23
- cpe:/a:graphicsmagick:graphicsmagick:1.3.24
Exploiting
Klasse: Denial of ServiceLokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)
Nessus ID: 94018
Nessus Name: Amazon Linux AMI : GraphicsMagick (ALAS-2016-752)
Nessus File: ala_ALAS-2016-752.nasl
Nessus Family: Amazon Linux Local Security Checks
Gegenmassnahmen
Empfehlung: UpgradeStatus: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: GraphicsMagick 1.3.25
Timeline
06.02.2017 Advisory veröffentlicht06.02.2017 VulDB Eintrag erstellt
06.02.2017 VulDB letzte Aktualisierung
Quellen
CVE: CVE-2016-7448 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 96574, 96575, 96577, 96578
Eintrag
Erstellt: 06.02.2017Eintrag: 70.4% komplett
...