对于很多互联网企业的IT管理员来说，惴惴不安可能是他们心情的最佳写照。因为在网站、论坛上大量使用的图像处理软件ImageMagick于近日被爆出一个严重的0day漏洞(CVE-2016-3714)，攻击者通过此漏洞可执行任意命令，最终窃取重要信息，甚至取得服务器控制权。由于软件官方目前还没有发布安全补丁，亚信安全建议受影响的用户通过暂时禁用ImageMagick来避免漏洞威胁。此外，亚信安全服务器深度安全防护系统（Deep Security）最新防护规则已经可以防范此次漏洞，建议用户迅速更新并部署。

想知道ImageMagick漏洞的影响有多大？看一下他的应用范围就知道了。打一个通俗的比方，ImageMagick可是大量互联网企业必装的“美图秀秀“。作为一套功能强大、稳定而且开源的工具集和开发包，其可以用来读、写和处理超过89种基本格式的图片文件，而且其处理效率很高，几乎成为建站的标配程序之一。

但这么一个流行的软件在出现漏洞之后，很多网站的IT管理员都不得不对网站中上传的图片“精神过敏“。因此该漏洞的利用十分简单，只要通过上传一个恶意图像到目标Web服务器上，攻击者就可以执行任意代码，窃取用户帐户等重要信息。亚信安全专家分析称，该漏洞的产生原因在于ImageMagick字符过滤规则不严谨：该软件对于文件名传递给后端的命令过滤不足，导致多种文件在格式转换过程中，被允许远程执行代码。

亚信安全技术总经理蔡昇钦表示：“在被封堵之前，零日漏洞提供了被网络犯罪分子肆意利用的窗口，这会成为企业网络安全的巨大威胁。本次ImageMagick漏洞被发现已有几天时间，但官方至今没有提供安全补丁修复，这可能会加大用户被攻击的风险。我们正在密切关注与此次ImageMagick漏洞相关的各种网络攻击，以帮助用户及时抵御漏洞威胁。”

目前，亚信安全深度威胁发现平台(Deep Discovery)的沙盒和脚本分析器引擎，也可以被用来检测这种威胁。亚信安全服务器深度安全防护系统（Deep Security）的最新防护规则DSRU16-013已经可以防护ImageMagick的最新漏洞，建议亚信安全服务器深度安全防护系统（Deep Security）用户迅速部署最新防护规则与特征，以获得针对该漏洞攻击的防护。

原文发布时间为：2016-05-11

本文来自云栖社区合作伙伴至顶网，了解相关信息可以关注至顶网。

ImageMagick被爆存在零日漏洞 或导致重要信息被窃取相关推荐

  1. Spring 官方修复零日漏洞，推出 Spring Boot 2.6.6、2.5.12 等新版本

    一.漏洞说明 这个漏洞还要从 3 月 29 日晚间说起! 彼时有不少网友爆料,Spring 框架出现 "史诗级" RCE 漏洞,平地一声雷,一时之间,快要入睡的开发者们纷纷坐起查看 ...

  2. 兰德公司：零日漏洞平均生存期为6.9年

    兰德公司一份新研究报告称,零日漏洞--开发人员没打补丁或没发现的漏洞,平均生存期为6.9年. 该研究分析了200多个此类漏洞,并调查了这些漏洞被不同组织发现的频率.独立发现的罕见性,以及缺陷存在的长期 ...

  3. Chrome用户请尽快更新：谷歌发现两个严重的零日漏洞

    强烈建议:Chrome用户请尽快升级浏览器!在谷歌今天发布的紧急补丁程序中修复了两个严重的零日漏洞,而其中一个已经被黑客利用.Chrome安全小组表示,这两个漏洞均为use-after-free形式, ...

  4. 思科bfd静态路由切换_思科路由器曝出两个严重零日漏洞，已被野外利用

    点击蓝字关注我们 思科在上周末警告说,其运营商级路由器上运行的Cisco IOS XR软件中存在两个严重的内存耗尽拒绝服务(DoS)漏洞,攻击者正在试图利用中. 关于漏洞 思科的IOS XR网络操作系 ...

  5. IE新0day漏洞（979352）（又称极光零日漏洞）***将扩散

    微软1月14日晚发布公告称,***在最近的针对Google.Adobe以及其他公司的***中利用了IE零日漏洞(编号979352). 有关该漏洞的信息不断被披露,目前网上已经出现完整的恶意***代码. ...

  6. 谷歌浏览器修复一键修复_谷歌发布Chrome 86.0.4240.198 修复两个零日漏洞 - Google Chrome 谷歌浏览器...

    (来自:Google Blog) 截止发稿时,谷歌尚未披露两个零日漏洞攻击的详情.但在 Chrome 的变更日志中,该公司还是提到了两个通用漏洞披露编号. 首先是 CVE-2020-16013,其描述 ...

  7. 谷歌紧急更新，Chrome 今年第二个零日漏洞曝光

    整理 | 张仕影 出品 | CSDN(ID:CSDNnews) 在曾经市场份额疯长到全球第二的 Firefox 浏览器日益变"糊,并且如今市场占有率已不足 4% 的形势下,2008 年诞生的 ...

  8. Google 员工公开 Windows 10 零日漏洞隐藏 Bug！

    今年3月,Google员工Tavis Ormandy‏曾对外披露了Chrome浏览器中存在的零日漏洞--该漏洞允许黑客使用浏览器中加载的恶意PDF文档来获取个人数据,彼时Google官方曾表示修复方案 ...

  9. 苹果零日漏洞利用市售800万欧元

    苹果移动操作系统iOS零日漏洞利用可致远程代码执行,市售800万欧元. 苹果零日漏洞可造成巨大破坏 由于以色列网络情报公司NSO Group备受争议的"飞马"(Pegasus)解决 ...

最新文章

  1. 剑指offer：面试题13. 机器人的运动范围
  2. spring boot使用yaml替代properties
  3. linux 写脚本登录ftp,Linux使用Shell脚本实现ftp的自动上传下载-Go语言中文社区
  4. 生成高分辨率pdf_用于高分辨率图像合成的生成变分自编码器
  5. 计算机二级web题目（7.3）--简单应用题1
  6. 面试官面试前端_如何面试面试官
  7. linux内核奇遇记之md源代码解读之七阵列同步一
  8. 日常琐事的记录，每周六晚做一次总结整理
  9. 十六进制编辑器_Windows最佳免费十六进制编辑器
  10. 高刷新率电视机有必要吗？
  11. T-BOX,OBD区别
  12. java爬取今日头条文章
  13. The 3rd SMUCTF Office WriteUp
  14. 【Collaborative Perception - 2】V2X-ViT（ECCV2022）
  15. Testin云测试在智能测试领域的探索实践
  16. ChatGPT会取代互联网程序员吗？
  17. 储存器RAM、Flash、ROM、HHD简明对比
  18. postsql——存储（TableSpace）
  19. python 局域网广播_Python实现局域网内屏幕广播的技术要点分析
  20. 极速office（word）如何导出PDF格式

热门文章

  1. Android动态更改TextView的字体大小
  2. Apache Zeppelin安装和启动
  3. 42.（leaflet之家）leaflet实现撒点图（仿echarts）
  4. 算法逻辑题_二.计算法
  5. java 佛祖保佑_佛祖保佑 永无bug 注释模板设置详解(仅供娱乐)
  6. 网易AI平台开放多项技术，助力网易七鱼智能客服升级
  7. 2020牛客寒假算法基础集训营3——J.牛牛的宝可梦Go【最短路 DP（01背包） 复杂度优化】（附优化分析）
  8. 桥接的虚拟机无法ping通物理机
  9. HDU6078 Wavel Sequence
  10. vue实现页面锁屏完美解决