Новая критическая уязвимость в GraphicsMagick и ImageMagick

Новая критическая уязвимость в GraphicsMagick и ImageMagick

Новая критическая уязвимость в GraphicsMagick и ImageMagick

В пакетах ImageMagick и GraphicsMagick выявлена ещё одна опасная уязвимость (CVE-2016-5118), позволяющая выполнить произвольные команды shell при обработке специально оформленного имени файла. Проблема связана с передачей в вызов popen имени файла.

Без его проверки на наличие спецсимволов, что позволяет использовать модификатор "|", отвечающий за ответвление процесса для создания канала ввода-вывода. Передав вместо имени файла аргумент "|имя" можно выполнить произвольный код, например:

   convert '|echo Hello > hello.txt;' null:

Кроме эксплуатации приложений, для преобразования форматов изображений вызывающих утилиту convert, атака может быть проведена при обработке специально оформленных SVG- или MVG-файлов, в которых вместо ссылки на изображение может применяться конструкция:

SVG:

   xlink:href="|echo Hello > hello.txt; cat /usr/lib/firefox/browser/icons/mozicon128.png"

MVG:

  push graphic-context

  viewbox 0 0 640 480

  image copy 200,200 100,100 "|echo Hello > hello.txt; cat /usr/lib/firefox/browser/icons/mozicon128.png"

  pop graphic-context

Проблема присутствует в функции OpenBlob() из состава blob.c. Не исключено, что кроме утилиты convert и обработчиков SVG/MVG, уязвимость может проявляться и в других областях применения GraphicsMagick и ImageMagick. В качестве решения проблемы рекомендуется отключить использование функции popen, убрав флаг HAVE_POPEN в файле magick/blob.c ("#undef HAVE_POPEN"). На момент написания новости исправление доступно лишь в виде патча. Обновления пакетов для дистрибутивов еще не сформированы: Debian, Ubuntu, RHEL/CentOS, SUSE, openSUSE, FreeBSD, Fedora. 

Частое общение с ИИ-ботами не проходит бесследно: из людей посыпался слоп

ИИ настолько стремительно вторгся в нашу жизнь, охватив многие ее аспекты, что начал даже оказывать влияние на манеру изъясняться. Люди, сами того не замечая, все чаще употребляют замысловатые словечки и фразы из репертуара ChatGPT.

Как оказалось, расширение использования больших языковых моделей (БЯМ, LLM) не только пошло им на пользу, но также записало на подкорку живых собеседников странный диалект, выработанный ИИ в ходе генерации текстов.

В июле прошлого года институт Макса Планка опубликовал результаты исследования влияния LLM на речевые коммуникации homo sapiens. Как оказалось, за 18 месяцев с момента запуска ChatGPT словарь пользователей YouTube сильно изменился, обогатившись такими выпадающими из стиля и контекста словами, как underscore (сделать акцент на…), comprehend (осмыслить, объять), bolster (консолидировать), inquiry (изыскание), meticulous (скрупулезный, доскональный, филигранный).

Недавно были выявлены похожие, но более анекдотичные случаи. Так, модераторы Reddit-веток, в которых участники сообществ со смаком обсуждают дерзкие проступки, никак не могут избавиться от слопа — постов, переписанных с помощью ИИ, а также участников дискуссий, разговаривающих в том же духе, которых невозможно отличить от чат-ботов.

Писатель Сэм Крисс (Sam Kriss) изучил последние публикации в New York Times Magazine и обнаружил, что их авторы явно злоупотребляют словом «delve» (штудировать), позаимствованным у ИИ.

Исследователь также отметил, что даже британские парламентарии не брезгуют советоваться с ChatGPT, подготавливая свою речь. Об этом свидетельствует фраза «I rise to speak», однажды озвученная за день 26 раз, — характерная для американского английского, но совершенно неуместная при выступлении в Вестминстерском дворце.

Еще один курьез, подмеченный Киссом: в сентябрьских объявлениях о закрытии Starbucks кофейни были названы «неотъемлемой частью вашего суточного режима, пробуждающей воспоминания», а также «местом, где наше конструктивное общение с партнерами с годами только крепло». Текст был явно навеян общением с ИИ, если только не создан с его непосредственным участием.

RSS: Новости на портале Anti-Malware.ru