Новая критическая уязвимость в GraphicsMagick и ImageMagick

Новая критическая уязвимость в GraphicsMagick и ImageMagick

Новая критическая уязвимость в GraphicsMagick и ImageMagick

В пакетах ImageMagick и GraphicsMagick выявлена ещё одна опасная уязвимость (CVE-2016-5118), позволяющая выполнить произвольные команды shell при обработке специально оформленного имени файла. Проблема связана с передачей в вызов popen имени файла.

Без его проверки на наличие спецсимволов, что позволяет использовать модификатор "|", отвечающий за ответвление процесса для создания канала ввода-вывода. Передав вместо имени файла аргумент "|имя" можно выполнить произвольный код, например:

   convert '|echo Hello > hello.txt;' null:

Кроме эксплуатации приложений, для преобразования форматов изображений вызывающих утилиту convert, атака может быть проведена при обработке специально оформленных SVG- или MVG-файлов, в которых вместо ссылки на изображение может применяться конструкция:

SVG:

   xlink:href="|echo Hello > hello.txt; cat /usr/lib/firefox/browser/icons/mozicon128.png"

MVG:

  push graphic-context

  viewbox 0 0 640 480

  image copy 200,200 100,100 "|echo Hello > hello.txt; cat /usr/lib/firefox/browser/icons/mozicon128.png"

  pop graphic-context

Проблема присутствует в функции OpenBlob() из состава blob.c. Не исключено, что кроме утилиты convert и обработчиков SVG/MVG, уязвимость может проявляться и в других областях применения GraphicsMagick и ImageMagick. В качестве решения проблемы рекомендуется отключить использование функции popen, убрав флаг HAVE_POPEN в файле magick/blob.c ("#undef HAVE_POPEN"). На момент написания новости исправление доступно лишь в виде патча. Обновления пакетов для дистрибутивов еще не сформированы: Debian, Ubuntu, RHEL/CentOS, SUSE, openSUSE, FreeBSD, Fedora. 

Microsoft убеждает: без Copilot+ вы выпадаете из будущего вычислений

Если верить Microsoft, вы прямо сейчас упускаете нечто важное. Причём не просто апгрейд, а целый «новый класс» компьютеров. Речь, конечно же, о Copilot+ PC — устройствах, которые, по версии компании, и есть будущее вычислений. А если у вас старый ноутбук или «обычный» компьютер Windows, то, дескать, сочувствуем.

В Microsoft прямо говорят: все Copilot+ PC — это Windows 11, но далеко не каждый Windows 11 — Copilot+ PC. Звучит внушительно, но что вообще делает компьютер «достойным» этого названия?

Формальные требования выглядят так:

  • от 16 ГБ ОЗУ;
  • минимальный объём SSD — 256 ГБ;
  • нейронный процессор (Neural Processing Unit, NPU) мощностью не менее 40 TOPs.

И вот тут начинается самое интересное. Даже некоторые относительно новые устройства под это определение не попадают. Например, ноутбук 2024 года с NPU на 10 TOPs — уже мимо. Не потому, что он плохой, а потому что не дотягивает до магического порога в 40 TOPs.

Для справки: NPU (Neural Processing Unit) — это отдельный чип для задач ИИ и машинного обучения. Microsoft делает на него основную ставку, аккуратно умалчивая, что современные GPU (особенно игровые) давно справляются с локальными ИИ-моделями не хуже.

Маркетинг Microsoft, как всегда, не стесняется формулировок. Copilot+ PC называют «самыми быстрыми и интеллектуальными Windows-компьютерами», которые якобы готовят пользователей к «следующему поколению вычислений».

Правда, что именно это поколение из себя представляет, компания толком не объясняет. Пока что оно выглядит как рост цен на железо, больше оперативной памяти и возможность запускать ИИ-функции локально — например, чтобы превратить себя в аниме-персонажа в Paint.

Microsoft уверяет, что такие компьютеры ускоряют работу и творчество. В качестве аргументов приводят набор функций:

  • Copilot — всегда под рукой, потому что на новых клавиатурах для него есть отдельная клавиша;
  • Recall — система, которая делает снимки экрана каждые несколько секунд и позволяет «отмотать время назад», задав вопрос вроде «над чем я работал неделю назад»;
  • Live Captions с переводом более чем с 40 языков;
  • Генерация изображений в Paint по текстовому описанию;
  • Улучшенные инструменты в «Фото»: размытие фона, удаление объектов;
  • Windows Studio Effects — автокоррекция изображения и эффектов для видеозвонков.

Часть функций действительно полезная. Другая часть звучит так, будто устройство теперь должно не столько помогать работать, сколько демонстрировать, что оно готово для ИИ.

Как бы Microsoft ни продвигала Copilot+ PC, энтузиазм разделяют не все. Некоторые производители, включая Dell, уже начинают осторожно смещать фокус обратно — на качество сборки, автономность и игровые возможности. Потому что большинству пользователей по-прежнему нужен просто хороший компьютер, а не символ готовности к ИИ-будущему.

Copilot+ PC, судя по всему, с нами надолго — если только ИИ-пузырь не начнёт сдуваться. Но пока Microsoft уверена: если вы не обновились, вы «не готовы». Даже если вам этого будущего пока не очень хочется.

На днях Microsoft всё же сделал шаг навстречу всем пользователям: экранный диктор с ИИ обещает появиться у всех пользователей Windows 11.

RSS: Новости на портале Anti-Malware.ru