【国际资讯】 雅虎弃用ImageMagick,研究员每个字节获778美元

阅读量    54221 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

https://p2.ssl.qhimg.com/t01511cfa98c11d0221.jpg

翻译:360代码卫士

投稿方式:发送邮件至linwei#360.cn,或登陆网页版在线投稿

前言

尽管该0day漏洞已修复,但雅虎认为ImageMagick在库中多余,因此将其弃用。Evans指出,“此前的*bleed漏洞一般是带外读取,但这个0day漏洞使用了未初始化内存。一个未初始化的图像解码缓冲是图像呈现在客户端的基础。它会泄露服务器端的内存。这种漏洞类型跟带外读取相比更为隐秘,因为服务器永远不会崩溃。然而,被泄的机密信息将仅限于出现在被释放堆块中。”

https://p0.ssl.qhimg.com/t01d60f78322a08dd07.jpg


漏洞修复

修复很简单:

(void) ResetMagickMemory(pixels,0,pixel_info_length);

在未修复的版本中,Evans能够将一个18字节的文件附在一条信息之后并将其发送给自己,然后启动预览面板。Linux版本和其它ImageMagick的主流用户需要修复这个漏洞。去年,相关但分离的GraphicsMagick修复了同样的问题。

Evans将所获奖励捐给一个慈善机构,雅虎获悉后奖励其双倍奖金。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多