ImageMagickを使うWebアプリのセキュリティ - 1. 既知の脆弱性、システム情報の漏洩 | 技術者ブログ | 三井物産セキュアディレクション株式会社
Webサイトの診断でImageMagickを使ったアップロード画像の処理を見ることがあります。診断の結果、特有の興味深い挙動が見つかることもあるため、今回時間を取って検証してみました。 その結果を3回に分けて記事にします。1回目の本記事では、既知の脆弱性、システム情報の漏洩の問題を取り上げます。2回目はDoS、最後の3回目はアクセス制御やXSSを中心としたいわゆるWebアプリのセキュリティを取り上げます。 検証ではRailsとCarrierWaveを使ったWebアプリを使用しました（詳細は末尾）。CarrierWaveはRailsなどで古くから使われているファイルアップロード処理用のgemライブラリです。これらを選んだのは、筆者の経験上、ImageMagickとともに使われていることが多く、また挙動が特徴的だからです。 以下では、ImageMagickの概要と、CarrierWaveの基本
Ghostscript脆弱性とImageMagick/GraphicsMagick、そしてGoogle Project Zero - ろば電子が詰まつてゐる
Ghostscriptの脆弱性が、Google Project ZeroのTavis Ormandy氏により公開されました(CVE番号はまだ無し)。openwallのoss-securityメーリングリストにもクロスポストされたので、こちらを見た方も多いでしょう。 https://bugs.chromium.org/p/project-zero/issues/detail?id=1640 http://openwall.com/lists/oss-security/2018/08/21/2 基本的な情報は以下のJPCERTアナウンスから出ているので、ここではもうちっと細かいTopicsをいくつかまとめます。 JPCERT: Ghostscript の -dSAFER オプションの脆弱性に関する注意喚起 概要 PostScriptは、単なるドキュメントファイルの一型式ではなく、描画コマンドな
「さようなら ImageMagick」の考察 - Qiita
はじめに サイボウズさんの ImageMagick の利用をやめる記事について少し思う所を書きます。否定というよりアシストのつもりです。(2018年08月26日投稿) さようなら ImageMagick 自分のスタンスを3行でまとめると、 policy.xml で読み書き出来るファイル形式を絞れば、いうほど怖くはない ただ、ImageMagick に限らずサーバサイドで動かすのは手間と覚悟が要る Yahoobleed の件でコード品質が信用ならないと言われたら、ごめんなさい 「ImageMagick を外した理由」 サイボウズさんのブログでは、2017年の ImageMagick 脆弱性報告数が多いので駄目との事です。 脆弱性 ImageMagick には脆弱性が大量に存在します。 2017 年に報告された ImageMagick の脆弱性は 236 件 でした。 大量にある上にリモートコ
さようなら ImageMagick - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは、アプリケーション基盤チームの青木(@a_o_k_i_n_g)です。 一般的な Web アプリケーションがそうであるように、サイボウズのグループウェアにも画像をサムネイルで表示する機能があります。サイボウズでは日々数万件やそれ以上のサムネイルを生成しており、それらは全て ImageMagick によって生成されていました。 そこで得た知見はこちらの記事で公開されています。 blog.cybozu.io しかし現在、サイボウズから ImageMagick は消え去りました。その理由と、我々が取った代替手段について紹介します。 ImageMagick を外した理由 言うまでもなく ImageMagick は優秀なツールで、画像変換に関する何らかのサービスやツールを作る場合には採用の第一候補になることでしょう。あらゆる画像フォーマットに対応し、出力画像をきめ細かに制御できる膨大なオプシ
5年後には画像フォーマットなんて誰も気にしなくなる ─ ImageFluxで描く画像変換の世界(後編) - pixiv inside
ピクシブのリードエンジニア道井俊介(ニックネーム：はるかさん)に、画像変換技術の未来について語っていただきます。 （※この記事は、「画像の価値は上がったのに、技術は10年前から変わっていない ─ ImageFluxで描く画像変換の世界」の後編です。） これからの画像変換システムのありかた ── はるかさんは、これからの画像変換のあるべき姿をどのように捉えているんですか 今でこそEC2みたいなクラウドサービスがあるけど、そうじゃなかった時代のことを思い出して欲しいんです。物理サーバーの時代。やれCPUがどうだとか、SSDに何をつかうだとか、省電力モードがどうとか。Linuxを入れればとりあえず大丈夫でしょ、とか言われてたけど、実際に運用に乗せると、そうでもないですよね。 BIOSの設定がどうなってるだとか、そういう細かいところは、日々のルーチンワークとしてやっていたはずなんですよ。そこに、E
もうサムネイルで泣かないための ImageMagick ノウハウ集に一言ツッコミ // Speaker Deck
もうサムネイルで泣かないための ImageMagick ノウハウ集に一言ツッコミ
もうサムネイルで泣かないための ImageMagick ノウハウ集 - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちわ、アプリケーション基盤チームの青木(@a_o_k_i_n_g)です。好きなみかんは紅マドンナです。 今回は、サイボウズのサムネイル事情について記事を書きたいと思います。サイボウズに限らず通常の Web アプリケーションでもサムネイル作成はよくあると思いますが、ハマりどころが多く涙しているサムネイリストも多いかと思います。これからの時代を生きるサムネイリストが快適なサムネイルライフを送れるよう、知見を共有したいと思います。 弊社では画像変換ツールに ImageMagick を用いており、従って本知見は ImageMagick 固有のものがほとんどです。 画像比較は人間の眼で行うべし サムネイル周りに何か修正を入れたら修正前後の画像を比較しましょう。機械によるバイト列の比較では画像の良し悪しがわかりません。頼れるのは人間の眼だけです。肉眼で確認しましょう。 比較できるツールを作ると良
画像ライブラリGrappyの作成と、ImageMagick, GDとの比較【実装編】 | 株式会社サイバーエージェント
概要 簡単な画像処理機能も備えた、シンプルかつ高速そしてAnimationGIFをサポートした画像形式変換ライブラリの Grappy を実装した。 これの性能について、ImageMagick, GDと、下記の比較を行った。 SSIMによる画質の比較 処理速度 Valgrindを使ったヒープメモリの使用量 ファイルサイズに関して 最後にそれらとの比較結果から、Grappyの優位性について述べた。 1.はじめに 画像のエンコード・デコードやリサイズといった処理をサービスに組み込もうと考えた場合、多くの場合は高レベルな画像処理をサポートした既存のライブラリの利用を検討することとなる。 しかし、既存のライブラリは機能と速度のバランスが悪く、使いにくいものであった。 Webサービスの中に画像関係の機能を取り入れる場合、求められるのは次のような単純な要求項目に限られる場合が多い。 JPEG, PN
Dockerでffmpegもimagemagickも怖くないという話 - クックパッド開発者ブログ
クックパッド 広告事業部の大野晋一です。責任範囲は広告事業の純広告およびネットワーク広告の商品開発担当で、事業部にはそれぞれの売上でコミットしています。 この記事では、動画変換の仕組みにおけるDockerの活用について紹介します。 クックパッドは8月8日、iOS/Androidのブラウザにおいて動画クリエイティブを掲出する広告商品を公開しました。広告商品としての詳細はプレスリリースやスライドを見ていただくのがわかりやすいのですが、本稿に関係する特徴としてスマートフォンのブラウザで自動的に再生が開始されるというものがあります。 スマートフォンのブラウザにおいては、現在のところ、動画を自動再生させることは出来ません。これはAppleやGoogleといったブラウザベンダが課している制約です。そこで、クックパッドでは、janiというライブラリを使い、特定の規則に基づいて作られた画像を、JavaSc
ターミナル操作の記録(ttyrec)からGIFアニメを生成するツールを作った - すぎゃーんメモ
ttyrec で録画したデータを使ってターミナル上で再生しつつ、そのスクリーンキャプチャを使ってアニメーションGIFを生成するツールをGoで作ってみた。 https://github.com/sugyan/ttygif Releases Mac, Linux Desktopで動作。再生速度はオプションで変更可能。 背景 percolを使ってターミナル操作を早く、便利に。 - すぎゃーんメモ のような記事を書いたりする際に、ターミナル操作を録画してGIFアニメにしたい需要があり。 そういった用途に使える汎用のデスクトップ録画ツールとしてはLICEcapやGifzoなどがある。 Cockos Incorporated | LICEcap http://gifzo.net/ これらはWindows, OSXあたりが対象で、Linuxの場合はまた他のツールがあるらしい(よく知らない)。 汎用的なキ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
フリーソフトウェアで風景から歩行者を消す方法（FFmpeg, ImageMagick） | 配電盤