Lỗ hổng CVE-2026-61857 trên ImageMagick cho phép kẻ tấn công gửi tệp ảnh chứa dữ liệu XMP độc hại để làm treo ứng dụng. Khuyến nghị cập nhật lên phiên bản 7.1.2-26.
Tổng quan về lỗ hổng
Vào ngày 11/07/2026, một lỗ hổng an toàn thông tin mới đã được công bố liên quan đến thư viện xử lý hình ảnh phổ biến ImageMagick. Lỗ hổng này được theo dõi dưới mã định danh CVE-2026-61857.
ImageMagick là một bộ công cụ mã nguồn mở được sử dụng rộng rãi trên các máy chủ web, hệ thống lưu trữ và ứng dụng phần mềm nhằm thực hiện các tác vụ chỉnh sửa, chuyển đổi và phân tích định dạng ảnh. Do mức độ phổ biến của thư viện này, bất kỳ sự cố bộ nhớ nào cũng có thể ảnh hưởng tới tính sẵn sàng của hệ thống xử lý dịch vụ.
Mô tả kỹ thuật và Mức độ nghiêm trọng
- Mã lỗ hổng: CVE-2026-61857
- Mức độ nghiêm trọng: Thấp (LOW) theo thang điểm CVSS.
- Ngày phát hành: 11/07/2026
- Bản chất kỹ thuật: Lỗi thuộc dạng Heap Use-After-Free (sử dụng vùng nhớ heap sau khi đã giải phóng). Nguyên nhân xuất phát từ việc thiếu bước kiểm tra giá trị rỗng (missing null check) trong quá trình phân tích cấu trúc dữ liệu metadata XMP (Extensible Metadata Platform) tích hợp bên trong tệp tin hình ảnh.
Phương thức tấn công và Tác động:
Kẻ tấn công có thể cố tình tạo ra các tệp hình ảnh chứa cấu trúc dữ liệu XMP được tinh chỉnh đặc biệt nhằm mục đích khai thác. Khi ứng dụng có sử dụng ImageMagick tiến hành đọc hoặc xử lý tệp ảnh độc hại này, lỗ hổng sẽ bị kích hoạt. Lỗi quản lý bộ nhớ dẫn đến việc ứng dụng đột ngột bị dừng hoạt động (crash), từ đó gây ra hiện tượng từ chối dịch vụ (DoS) cục bộ cho tính năng xử lý ảnh.
Lỗ hổng này không làm lộ rò rỉ dữ liệu hay cho phép thực thi mã từ xa, do đó được xếp hạng ở mức độ nghiêm trọng Thấp (LOW).
Đối tượng bị ảnh hưởng
Lỗ hổng CVE-2026-61857 ảnh hưởng trực tiếp đến:
- Tất cả các phiên bản ImageMagick trước phiên bản 7.1.2-26.
- Các hệ thống máy chủ, dịch vụ web, ứng dụng nền tảng cho phép người dùng cuối tải lên (upload) và xử lý ảnh có chứa dữ liệu XMP mà sử dụng thư viện ImageMagick phiên bản chưa được khắc phục.
Khuyến nghị khắc phục
Để đảm bảo tính ổn định và liên tục của dịch vụ, Bitech khuyến nghị các quản trị viên hệ thống và nhà phát triển ứng dụng thực hiện các bước sau:
- Cập nhật phiên bản: Nâng cấp thư viện ImageMagick lên phiên bản 7.1.2-26 hoặc mới hơn. Phiên bản này đã bổ sung đầy đủ các bước kiểm tra logic bộ nhớ khi phân tích profile XMP.
- Rà soát dữ liệu đầu vào: Kiểm tra lại quy trình xử lý dữ liệu tải lên, hạn chế bóc tách các trường metadata không cần thiết nếu hệ thống không yêu cầu sử dụng dữ liệu XMP.
Nguồn tham khảo
- Cơ sở dữ liệu lỗ hổng quốc gia (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-61857
- GitHub Advisory Database: https://github.com/ImageMagick/ImageMagick/security/advisories/GHSA-qh5g-q395-cx4j
- VulnCheck Advisory: https://www.vulncheck.com/advisories/imagemagick-before-26-heap-use-after-free-via-xmp
Ngày phát hành: 11/07/2026
Nguồn: NVD — CVE-2026-61857
Tham khảo: https://github.com/ImageMagick/ImageMagick/security/advisories/GHSA-qh5g-q395-cx4j
Tham khảo: https://www.vulncheck.com/advisories/imagemagick-before-26-heap-use-after-free-via-xmp