在GIMP 2.8.14 (Windows)上发现漏洞

Question

我在GIMP 2.8.14软件上发现了一个安全问题。在这里可以找到漏洞描述：漏洞描述

这里的CVE-2016-4994

当我被告知该漏洞时，我还被告知了一个解决方案，即用该建议中发送给我的特定版本更新软件。问题是升级只适用于linux，我们在Windows上有GIMP。

您是否知道2.8.16版本(这是我们拥有的版本)存在此漏洞的风险？如果有风险，你知道适当的措施来避免吗？

我还没有在Windows上找到任何关于GIMP的信息，所有的解决方案都是为Linux设置的。

事先谢谢。

Answer 1

GIMP的新版本2.8.18修复了此漏洞。查看发布说明：http://www.gimp.org/news/2016/07/14/gimp-2-8-18-released/

然而，我并不认为这是一个大问题。

GIMP并不意味着是“安全软件”--它作为用户处理器运行，必须处理数十种文件格式，每种格式最多可以有数百种不同的数据结构。它使用第三方库来处理其中一些数据格式。

我们不能期望GIMP的任何版本都能安全地防止打开一个文件，并让该文件以程序本身拥有的相同权限执行任意代码。虽然这个特定的漏洞告诉我们GIMP的本地XCF文件(在这方面可能是固定的)，但我们可以简单地打开postscript文件，从定义上来说，postscript文件是一个完整的程序，甚至对于格式良好的图像，也会运行任意代码。在大多数情况下，正在使用的后缀库应该对正在运行的程序进行沙箱，并阻止它访问，比如文件系统，但是它仍然可以使用CPU作为DoS攻击。

由您的操作系统来控制用户应用程序可以访问的资源。如果操作系统很紧，GIMP中的漏洞不会提供权限提升。甚至可以使用更细粒度的安全特性(例如SELinux)来进一步限制应用程序访问。

至于GIMP，2.8.18版本已经在昨天发布了--如果这个特定的问题被标记为固定的，你应该试着抓住这个问题。