Lỗ hổng CVE-2026-56372 mức độ Thấp trong ImageMagick có thể khiến hệ thống rò rỉ thông tin vùng nhớ Heap hoặc bị từ chối dịch vụ (DoS).
Tổng quan về lỗ hổng CVE-2026-56372
Mới đây, thư viện xử lý hình ảnh phổ biến ImageMagick đã ghi nhận một lỗ hổng an ninh mạng mới được định danh là CVE-2026-56372. Lỗ hổng này được chính thức phát hành và công bố thông tin vào ngày 11/07/2026.
Theo đánh giá theo thang điểm CVSS, lỗ hổng được xếp ở mức độ nghiêm trọng Thấp (LOW). Dù không thuộc nhóm lỗ hổng nguy hiểm cao, việc hiểu rõ bản chất sự cố và nâng cấp hệ thống kịp thời vẫn là điều quan trọng để đảm bảo an toàn thông tin cho các hạ tầng sử dụng thư viện này.
Chi tiết kỹ thuật và Tác động
Lỗ hổng CVE-2026-56372 xuất phát từ lỗi tràn bộ nhớ đệm trên vùng nhớ Heap (Heap Buffer Overflow) xảy ra trong thao tác phóng to hình ảnh (magnify). Cụ thể:
- Cơ chế phát sinh lỗi: Khi chương trình xử lý một giá trị phương thức không được công nhận hoặc không hợp lệ đối với thuộc tính
magnify:method, hệ thống sẽ kích hoạt một hành vi đọc dữ liệu ngoài phạm vi bộ nhớ đệm (Out-of-bounds read). - Tác động bảo mật: Kẻ tấn công có thể lợi dụng sơ hở này để truy xuất trái phép các vùng nhớ Heap ngoài phạm vi quy định, dẫn đến nguy cơ lộ rò rỉ các thông tin nhạy cảm đang lưu trữ trong bộ nhớ. Ngoài ra, việc truy cập bộ nhớ không hợp lệ cũng có thể khiến ứng dụng bị treo hoặc dừng đột ngột, gây ra trạng thái từ chối dịch vụ (Denial of Service - DoS).
Đối tượng bị ảnh hưởng
Lỗ hổng này ảnh hưởng trực tiếp đến các hệ thống và ứng dụng đang triển khai:
- Các phiên bản ImageMagick trước 7.1.2-19.
- Các ứng dụng web, máy chủ xử lý hình ảnh hoặc dịch vụ phần mềm có tích hợp ImageMagick để biến đổi, resize hoặc thao tác trên ảnh tải lên từ phía người dùng mà không kiểm soát chặt chẽ tham số cấu hình truyền vào.
Khuyến nghị khắc phục
Đội ngũ biên tập Bitech khuyến nghị các nhà phát triển và quản trị viên hệ thống thực hiện ngay các bước sau:
- Nâng cấp phần mềm: Cập nhật ImageMagick lên phiên bản 7.1.2-19 hoặc các phiên bản mới hơn càng sớm càng tốt. Bản vá này đã loại bỏ lỗi xử lý phương thức
magnifykhông hợp lệ. - Kiểm tra đầu vào: Tăng cường xác thực và làm sạch dữ liệu đầu vào trước khi chuyển tiếp các tham số xử lý ảnh tới thư viện ImageMagick, đặc biệt là các tùy chọn liên quan đến
magnify:method. - Rà soát وابستگی (Dependencies): Đối với các dự án phần mềm sử dụng ImageMagick qua các gói mở rộng hoặc wrapper, cần đảm bảo bản dựng underlying đã được nâng cấp lên bản vá an toàn.
Nguồn tham khảo
- National Vulnerability Database (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-56372
- GitHub Security Advisory: https://github.com/ImageMagick/ImageMagick/security/advisories/GHSA-8vfj-q2cp-5m5j
- VulnCheck Advisory: https://www.vulncheck.com/advisories/imagemagick-heap-buffer-overflow-read-via-unrecognized-magnify-method
Ngày phát hành: 11/07/2026
Nguồn: NVD — CVE-2026-56372
Tham khảo: https://github.com/ImageMagick/ImageMagick/security/advisories/GHSA-8vfj-q2cp-5m5j
Tham khảo: https://www.vulncheck.com/advisories/imagemagick-heap-buffer-overflow-read-via-unrecognized-magnify-method