来自 Red Hat 安全公告 2016:0726：

ImageMagick 的更新现在可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

ImageMagick 是用于 X Window 系统的图像显示和操纵工具，可以读取和写入多种图像格式。

安全补丁：

* 已发现 ImageMagick 未正确审查某些输入，便将其传递至委派功能。远程攻击者可创建特别构建的图像，当由使用 ImageMagick 的应用程序或使用 ImageMagick 实用工具的没有防备的用户处理时，会导致以运行应用程序的用户的权限任意执行 shell 命令。
(CVE-2016-3714)

* 已发现某些 ImageMagick 编码器和伪协议在处理特别构建的图像时，未正确防止安全敏感操作。远程攻击者可创建特别构建的图像，当由使用 ImageMagick 的应用程序或使用 ImageMagick 实用工具的没有防备的用户处理时，会允许攻击者删除、移动或泄露任意文件的内容。（CVE-2016-3715、CVE-2016-3716、CVE-2016-3717）

* 在 ImageMagick 处理某些图像的方式中发现一个服务器端请求伪造缺陷。例如，远程攻击者可利用此缺陷误导使用 ImageMagick 的应用程序或使用 ImageMagick 实用工具的没有防备的用户，来通过特别构建的图像执行 HTTP(S) 请求或打开 FTP 会话。(CVE-2016-3718)

注意：此更新包含禁用 EPHEMERAL、HTTPS、HTTP、URL、FTP、MVG、MSL、TEXT 和 LABEL 编码器的更新后的 /etc/ImageMagick/policy.xml 文件。如果您在更新后遇到任何问题，可能必须手动调整 policy.xml 文件以符合您的要求。请采取额外的预防措施，确保在执行此操作之前，使用 ImageMagick 库的应用程序不会处理恶意或不受信任的文件。

检测

Oracle Linux 6 / 7：ImageMagick (ELSA-2016-0726)

high Nessus 插件 ID 91032

版本 2.20