ImageMagick: Umgehung der Richtlinienprüfung im CUT-Encoder
Zusammenfassung
Eine fehlende Prüfung der Sicherheitsrichtlinie im CUT-Encoder von ImageMagick erlaubt es, mit einer präparierten lokalen Kodierungsoperation Daten zu lesen, die die Richtlinie verbieten würde. Derselbe Fehler kann zudem einen Absturz verursachen. Ein Angreifer benötigt ein lokales Konto oder einen lokalen Prozess auf dem Host; die Schwachstelle ist allein nicht über das Netzwerk ausnutzbar.
Betroffen
- ImageMagick 7.x vor 7.1.2-31 (CVE-Eintrag: ab 7.0.0)
- ImageMagick 6.x vor 6.9.13-56
Behoben in
- 7.1.2-31
- 6.9.13-56
- Backports der Distributionen: Verfügbarkeit variiert je nach Hersteller (Debian, Ubuntu, SUSE und Red Hat unterscheiden sich). Prüfen Sie die Sicherheitsmitteilung Ihres Herstellers.
Umgehung
Unbekannt. In den Quellen ist keine Workaround-Massnahme dokumentiert; das Aktualisieren ist die einzige bestätigte Behebung.
- Wenn das Patchen verzögert wird, beschränken Sie auf gemeinsam genutzten Hosts, welche Konten ImageMagick ausführen dürfen.
- Prüfen Sie die Datei policy.xml und deaktivieren Sie nicht benötigte Coder.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- Nicht im CISA-KEV-Katalog gelistet; kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Aktualisieren Sie ImageMagick auf 7.1.2-31 oder 6.9.13-56 oder installieren Sie das gepatchte Paket Ihrer Distribution.
- Prüfen Sie die ImageMagick-Version auf Hosts, die nicht administrative Benutzer oder nicht vertrauenswürdige Inhalte erreichen können, etwa gemeinsam genutzte Server, CI-Runner und Upload-Verarbeitung.
- Überprüfen Sie den CVSS-Wert im NVD-Eintrag vor der endgültigen Priorisierung; der Hersteller stuft die Schwachstelle als Moderate (4.0) ein, der CVE-Eintrag nennt 8.2.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-r868-pmwh-fv2c github.com
- ImageMagick commit 768bdd0 (cut.c fix) github.com
- ImageMagick 7.1.2-31 release github.com
- ImageMagick6 commit ad178e4 github.com
- ImageMagick6 release 6.9.13-56 github.com
- Debian Security Tracker CVE-2026-106580 security-tracker.debian.org
- Ubuntu Security CVE-2026-106580 ubuntu.com
- OSV CVE-2026-105823 (alias) osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:55.
Referenzen der NVD (5)
- https://github.com/ImageMagick/ImageMagick/commit/768bdd0dbb9a9ad743b6a6e557126b788b325970
- https://github.com/ImageMagick/ImageMagick/releases/tag/7.1.2-31
- https://github.com/ImageMagick/ImageMagick/security/advisories/GHSA-r868-pmwh-fv2c
- https://github.com/ImageMagick/ImageMagick6/commit/ad178e41fce2afa6be2b91fb4e7f41c4c5448117
- https://github.com/ImageMagick/ImageMagick6/releases/tag/6.9.13-56
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.