定番の脆弱性 › CVE-2016-3714
ImageTragick（CVE-2016-3714）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
過去の事例 この記事は過去に話題になった脆弱性の解説です。現在の状況は公式情報でご確認ください。
基本情報（データから表示）
| 通称 | ImageTragick |
|---|---|
| CVE番号 | CVE-2016-3714 |
| いつ起きたか | NVD に登録された日: 2016-05-05 KEV に追加された日: 2024-09-09 |
| 製品 | ImageMagick ImageMagick |
| 深刻度（CVSS） | 8.4 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-20 |
何が起きた
ImageMagickという製品に、入力されたデータの確認が不十分であるという弱点が見つかりました。実際にこの弱点を突いた攻撃が確認されています。遠く離れた場所から、細工した画像を使って、攻撃者が任意のコード実行（好きなプログラムを動かすこと）を行えるおそれがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
ImageMagickを使っている人が影響を受けます。影響を受けるバージョンは、6.9.3-10 より前と、7.0.1-1 より前の 7.x です。
何をすればいい
修正されたバージョンである 6.9.3-10 以降、または 7.0.1-1 以降に更新されているか確認します。メーカーの案内に従って、対策を行うことが大切です。今でも古いバージョンが使われていないか確認しましょう。
やることチェックリスト
- ImageMagickが6.9.3-10以降か確認する
- ImageMagickが7.0.1-1以降か確認する
- メーカーの案内通りに対策を行う
用語メモ
- 任意のコード実行
- 攻撃者に好きなプログラムを勝手に動かされてしまうことです。
- バージョン
- 製品の古い、新しいといった種類や段階を表す番号です。
元データ（英語）
ImageMagick Improper Input Validation Vulnerability
概要（CISA KEV）
ImageMagick contains an improper input validation vulnerability that affects the EPHEMERAL, HTTPS, MVG, MSL, TEXT, SHOW, WIN, and PLT coders. This allows a remote attacker to execute arbitrary code via shell metacharacters in a crafted image.
説明（NVD）
The (1) EPHEMERAL, (2) HTTPS, (3) MVG, (4) MSL, (5) TEXT, (6) SHOW, (7) WIN, and (8) PLT coders in ImageMagick before 6.9.3-10 and 7.x before 7.0.1-1 allow remote attackers to execute arbitrary code via shell metacharacters in a crafted image, aka "ImageTragick."