为什么 ImageMagick 这样的开源软件也会引入如此严重的安全漏洞?

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 2910 天前的主题，其中的信息可能已经有所发展或是发生改变。

安全漏洞介绍在这里: 安全预警： ImageMagick 图象处理软件存在远程代码执行(CVE-2016-3714) - FreeBuf.COM | 关注黑客与极客

LZ 知道开源不是万能的，不过 ImageMagick 这样流行的开源软件必然有少部分外部开发协作维护，为什么也会让这样严重的安全问题代码入库？

有了解类似情况的前辈能科普下不？

第 1 条附言 · 2016-05-05 12:51:09 +08:00

很多朋友回复的是软件会有 bug，这当然没问题。

不过一个图片转换软件为什么要读取并执行图片内容呢？imagemagick 有类似功能？这点我没能理解。

第 2 条附言 · 2016-05-05 21:27:33 +08:00

乌云的解释很清楚：[CVE-2016-3714 - ImageMagick 命令执行分析 | WooYun 知识库]( http://drops.wooyun.org/papers/15589#rd) 看来的确是有依赖内容调用第三方库执行命令，所以引起的问题。感谢部分答主耐心解释。

的确是犯了 ”永远不要相信用户的输入“ 类型的错，@justou 👍

LZ 的确新手一枚，少部分 V 友口下留情才能让 V 站更友好不是。；）

开源

安全

imagemagick

漏洞

37 条回复 • 2016-05-06 09:23:35 +08:00

function007

2016-05-05 09:17:20 +08:00

OpenSSL 笑而不语

tony1016

2016-05-05 09:19:45 +08:00

安全 bug 本来就难以被发现。 openssl 比这货更流行，不也心脏出血

congeec

2016-05-05 09:23:54 +08:00

开源的好处在于代码有很多人看，能发现部分 bug
当然，代码写的太乱谁也救不了。你看，一楼很懂

zkd8907

2016-05-05 09:29:47 +08:00

开源!=安全

akagi

2016-05-05 09:30:27 +08:00

复杂的边界条件没那么好判断

realpg

2016-05-05 09:31:33 +08:00

LZ 被迫害妄想症泛滥么

这是作者故意写的？ 2333333

youxiachai

2016-05-05 09:32:54 +08:00

lz...压根就不知道一个安全漏洞..是历经何其复杂的过程.才被发现.......

LINEX

2016-05-05 09:35:41 +08:00

@youxiachai 对，之前看 struts 那个漏洞的分析贴，不认真看源码真的是什么都发现不了。。。。

Testalias

2016-05-05 09:39:08 +08:00

NTP 也爆出漏洞了

akagi

2016-05-05 09:40:58 +08:00

@youxiachai +1 不过自动化工具可以代劳一部分

xcodebuild

2016-05-05 10:00:20 +08:00

只要是软件都会有 bug 。。和开源不开源没关系

sunsh217

2016-05-05 10:07:40 +08:00

免费给你用就不错了，还鸡鸡歪歪。不想用可以不用。

xbb7766

2016-05-05 10:14:14 +08:00 via Android

Openssl 和 bash 发来贺电

leavic

2016-05-05 10:39:34 +08:00

我从来就不相信别人写的代码

loading

2016-05-05 10:42:06 +08:00

对于开源项目，说句实话，大家都忙于完善功能，对于安全方面，很多都只修正浅显的漏洞。

harry890829

2016-05-05 10:43:22 +08:00

然而，还有一部分人专门 review 代码找 bug 的，找到了拿到黑市卖……

GeekGao

2016-05-05 10:50:25 +08:00

鄙人之见，代码中的安全问题往往是经验问题。 contributor 们虽然会写代码但并不一定有很强的意识去 review 代码做安全审查

ragnaroks

2016-05-05 11:29:52 +08:00

@loading
+Max

foonsun

2016-05-05 11:35:55 +08:00

openssl 笑了~

dphdjy

2016-05-05 12:30:39 +08:00 via Android

@leavic 我连自己写的都不相信 :doge:

janxin

2016-05-05 12:34:41 +08:00 via iPhone

为什么大公司的应用也有 bug 呢

visonme

2016-05-05 12:43:23 +08:00

自古开源不缺坑，只是个臭虫那更加正常了。
流行度和有外部团队协作维护这不能说明它就不能有重大 bug ，只是在有些的空间和时间内，相对会减低 bug 而已，毕竟真正一天到晚针对 IM 的做安全测试的公司，团队，个人会有多少呢？
像 ms ， google 等大公司有专业的安全 /测试团队，他们的产品也无法避免存在重大的 bug 的问题，所以对于开源我们不能要求太高了。

zaishanfeng

2016-05-05 12:52:11 +08:00 via Android

额漏洞之所以叫漏洞是因为你没发现的时候它不叫漏洞

ffffwh

2016-05-05 13:19:11 +08:00

不好的编程习惯引入的漏洞。

比方说这次是用了 system()来开 subprocess ，而不是 fork/exec 。

skyworker

2016-05-05 13:24:43 +08:00

如果你能去传说中的"0day"漏洞交易市场看看, 那里的安全性 bug 估计会更让你叹为观止.

superbear

2016-05-05 13:44:15 +08:00

你以为开源软件背后是一堆人在维护，其实可能只是一两个人在撑着

zingl

2016-05-05 14:44:53 +08:00

“让这样严重的安全问题代码入库”

这马后炮放的

SlipStupig

2016-05-05 14:50:56 +08:00

漏洞就跟 bug 一样，是人就会犯错

youxiachai

2016-05-05 15:13:52 +08:00

oh,no

lz 该从哪里吐槽呢..

"不过一个图片转换软件为什么要读取并执行图片内容呢？ imagemagick 有类似功能？这点我没能理解。"

试问一些,一个图片转换文件,不读取文件内容,怎么转换...

至于后面那句"读取并执行图片内容",那是发现了这个远程执行漏洞...才有这个问题.....不知道 lz 能不能看懂..

我感觉..lz 对于安全这块的知识几乎是空白的..