ImageMagick < 7.0.1-1 / 6.x < 6.9.3-10 多种漏洞 (ImageTragick)

high Nessus 插件 ID 90892

语言：

简介

远程 Windows 主机上安装有受多种漏洞影响的应用程序。

描述

远程 Windows 主机上安装的 ImageMagick 版本低于 7.0.1-1 或是低于 6.9.3-10 的 6.x。因此，它受到以下漏洞的影响：

- 由于未正确筛选已传送至委派命令的文件名中的 shell 字符，因此导致一个远程代码执行漏洞，称为 ImageTragick。远程攻击者可利用此漏洞通过特别构建的图像注入 shell 命令并执行任意代码。(CVE-2016-3714)

-“ephemeral”伪协议存在一个允许攻击者删除任意文件的不明缺陷。(CVE-2016-3715)

-“ms”伪协议存在一个允许攻击者将任意文件移至任意位置的不明缺陷。(CVE-2016-3716)

-“label”伪协议存在一个允许攻击者通过特别构建的图像读取任意文件的不明缺陷。(CVE-2016-3717)

- 由于与用户与服务器之间的请求处理相关的不明缺陷，存在一个服务器端请求伪造 (SSRF) 漏洞。远程攻击者可利用此问题，通过具有特别构建的填充元素的 MVG 文件，绕过访问限制并发动基于主机的攻击。
(CVE-2016-3718)