ImageMagick远程命令执行漏洞分析及防护方案

目前所有版本的Graphicsmagick和ImageMagick都支持打开文件,当文件名的第一个字符为‘|’,则文件名会被传递给shell程序执行,导致(可能远程)代码执行。
文件打开操作位于源代码文件blob.c中的OpenBlob()函数,不同于CVE-2016-3714的是,此漏洞存在于软件处理的核心代码中,影响会更广。
目前此漏洞的编号为CVE-2016-5118。

【预警通告】ImageMagick 再爆核心漏洞,站长小心

目前所有版本的GraphicsMagick和ImageMagick都支持打开文件,当文件名的第一个字符为“|”,则文件名会被传递给shell程序执行,导致(可能远程)代码执行。
文件打开操作位于源代码文件blob.c中的OpenBlob()函数,不同于CVE-2016-3714的是,此漏洞存在于软件处理的核心代码中。