- Aktif istismar
- CWE-20
CVE-2016-3714
ImageMagick'te Uygun Olmayan Girdi Doğrulaması Nedeniyle Uzaktan Kod Çalıştırma Açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 3827 gün
- Kaydı açan
- redhat
ÖzetTürkçe
ImageMagick'in 6.9.3-10 sürümünden önceki sürümlerinde ve 7.x sürümlerinde 7.0.1-1 sürümünden önce bulunan EPHEMERAL, HTTPS, MVG, MSL, TEXT, SHOW, WIN ve PLT kodlayıcıları (coder) kabuk meta karakterlerini yeterince filtrelemez. Bu nedenle uzaktan saldırganlar, özel hazırlanmış bir görüntü aracılığıyla keyfi kod çalıştırabilir. Bu açık "ImageTragick" olarak da bilinmektedir.
Kaynaktaki açıklama (İngilizce)
The (1) EPHEMERAL, (2) HTTPS, (3) MVG, (4) MSL, (5) TEXT, (6) SHOW, (7) WIN, and (8) PLT coders in ImageMagick before 6.9.3-10 and 7.x before 7.0.1-1 allow remote attackers to execute arbitrary code via shell metacharacters in a crafted image, aka "ImageTragick."
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ImageMagick | Sürüm belirtilmemiş | – |
Kaynaklar27 kaynak
- CVE.org kaydı
- NVD kaydı
- lists.opensuse.org/opensuse-security-announce/2016-05/msg00028.html Üretici bülteni
- lists.opensuse.org/opensuse-security-announce/2016-05/msg00041.html Üretici bülteni
- lists.opensuse.org/opensuse-security-announce/2016-05/msg00051.html Üretici bülteni
- ubuntu.com/usn/USN-2990-1 Üretici bülteni
- lists.opensuse.org/opensuse-security-announce/2016-05/msg00025.html Üretici bülteni
- lists.opensuse.org/opensuse-security-announce/2016-05/msg00024.html Üretici bülteni
- debian.org/security/2016/dsa-3746 Üretici bülteni
- security.gentoo.org/glsa/201611-21 Üretici bülteni
- lists.opensuse.org/opensuse-security-announce/2016-05/msg00032.html Üretici bülteni
- slackware.com/security/viewer.php Üretici bülteni
- debian.org/security/2016/dsa-3580 Üretici bülteni
- rhn.redhat.com/errata/RHSA-2016-0726.html Üretici bülteni
- kb.cert.org/vuls/id/250519 Üçüncü taraf
- exploit-db.com/exploits/39767 İstismar kodu ya da analiz
- exploit-db.com/exploits/39791 İstismar kodu ya da analiz
- access.redhat.com/security/vulnerabilities/2296071 Diğer
- git.imagemagick.org/…18e08c840577cabd7d3ff291a9ba735f7276/ChangeLog Diğer
- securitytracker.com/id/1035742 Diğer
- imagetragick.com Diğer
- oracle.com/…ics/security/linuxbulletinapr2016-2952096.html Diğer
- imagemagick.org/discourse-server/viewtopic.php Diğer
- openwall.com/lists/oss-security/2016/05/03/13 Diğer
- securityfocus.com/archive/1/538378/100/0/threaded Diğer
- rapid7.com/…s/exploit/unix/fileformat/imagemagick_delegate Diğer
- oracle.com/…k/topics/security/bulletinjul2016-3090568.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.