En regardant le patch c'est extrêmement critique en fait. Ils filtres les coders acceptables pour imagemagick. De ce que j'en comprends c'est une forme de préfixe qui permet à imagemagick de faire un peu de magie. Ça a l'air de permettre de pointer une url (c'est parti l'attaque par rebond) et de faire des captures d'écrans de fenêtres sous x11 (et j'imagine un tas d'autres choses). Donc avec ou sans bug d'imagemagick ça peu poser des problèmes.
Je vois aussi une limitation de la taille des fichiers qu'on lui transmets et un timeout, j'imagine pour éviter un DOS bête et méchant.
[^] # Re: Quelques remarques
Posté par barmic 🦦 . En réponse au journal Vous hébergez un serveur Mastodon ? Mettez-le à jour !. Évalué à 5.
En regardant le patch c'est extrêmement critique en fait. Ils filtres les coders acceptables pour imagemagick. De ce que j'en comprends c'est une forme de préfixe qui permet à imagemagick de faire un peu de magie. Ça a l'air de permettre de pointer une url (c'est parti l'attaque par rebond) et de faire des captures d'écrans de fenêtres sous x11 (et j'imagine un tas d'autres choses). Donc avec ou sans bug d'imagemagick ça peu poser des problèmes.
Je vois aussi une limitation de la taille des fichiers qu'on lui transmets et un timeout, j'imagine pour éviter un DOS bête et méchant.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll