SUSE SLES11 安全更新：ImageMagick (SUSE-SU-2016:1275-1)

high Nessus 插件 ID 91119

语言：

简介

远程 SUSE 主机缺少一个或多个安全更新。

描述

此 ImageMagick 更新可修复以下问题：

修复的安全问题：

- 几个编码器容易受到远程代码执行攻击，这些编码器现在已禁用。通过导出以下环境变量 MAGICK_CODER_MODULE_PATH=/usr/lib64/ImageMagick-6.4.3/mo dules-Q16/coders/vu lnerable/ 可重新启用它们 (bsc#978061)

- CVE-2016-3714：不充分的 shell 字符筛选会导致（可能的远程）代码执行

- CVE-2016-3715：可能使用可在读取后删除文件的 ImageMagick 的“临时”伪协议来删除文件。

- CVE-2016-3716：可能使用在任何文件夹中有任何扩展的 ImageMagick 的“msl”伪协议来移动文件。

- CVE-2016-3717：可能使用 ImageMagick 的“标签”伪协议从服务器获取文件内容以读取本地文件。

- CVE-2016-3718：可能由服务器端请求伪造 (SSRF) 提出 HTTP GET 或 FTP 请求。

修复的缺陷：

- 使用外部 svg 加载程序 (rsvg)

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

解决方案

请使用 YaST online_update 安装此 SUSE 安全更新。
或者，可以运行为产品列出的命令：

SUSE OpenStack Cloud 5：

zypper in -t patch sleclo50sp3-ImageMagick-12549=1

SUSE Manager Proxy 2.1：

zypper in -t patch slemap21-ImageMagick-12549=1

SUSE Manager 2.1：

zypper in -t patch sleman21-ImageMagick-12549=1

SUSE Linux Enterprise 软件开发工具包 11-SP4：

zypper in -t patch sdksp4-ImageMagick-12549=1

SUSE Linux Enterprise Server 11-SP4：

zypper in -t patch slessp4-ImageMagick-12549=1

SUSE Linux Enterprise Server 11-SP3-LTSS：

zypper in -t patch slessp3-ImageMagick-12549=1

SUSE Linux Enterprise Server 11-SP2-LTSS：

zypper in -t patch slessp2-ImageMagick-12549=1

SUSE Linux Enterprise Debuginfo 11-SP4：

zypper in -t patch dbgsp4-ImageMagick-12549=1

SUSE Linux Enterprise Debuginfo 11-SP3：

zypper in -t patch dbgsp3-ImageMagick-12549=1

SUSE Linux Enterprise Debuginfo 11-SP2：

zypper in -t patch dbgsp2-ImageMagick-12549=1

要使系统保持最新状态，请使用“zypper 修补程序”。