Präpariertes SVG kann ImageMagick-Zeichenbefehle einschleusen

ImageMagick ist eine verbreitete Bildverarbeitungssoftware, die Webdienste etwa zum Prüfen, Umwandeln und Verkleinern hochgeladener Bilder einsetzen. In ImageMagick 7.x vor 7.1.2-15 und ImageMagick 6.x vor 6.9.13-40 kann der ImageMagick-Prozess beim Rendern eines präparierten SVG eingeschleuste MVG-Zeichenbefehle ausführen. MVG steht für Magick Vector Graphics und ist ImageMagicks eigene Sprache für Zeichenoperationen.

Das konkrete Szenario beginnt gewöhnlich: Ein Besucher lädt ein SVG als Logo, Avatar oder Produktbild hoch – oder gibt eine Bild-URL an. Im Hintergrund erzeugt ImageMagick daraus ein Vorschaubild. Während dieses Renderns können im SVG untergebrachte MVG-Anweisungen in den Bildprozessor gelangen. Ubuntu beschreibt als mögliche Folge, dass ein Angreifer Code mit den Rechten dieses Prozesses ausführt.

Die Einstufung als remote ausnutzbar und kritisch gilt deshalb nur, wenn eine nicht vertrauenswürdige Upload- oder URL-Pipeline die Datei tatsächlich an einen verwundbaren ImageMagick-Prozess weiterreicht. Eine Installation ohne solche Verarbeitung ist nicht allein durch ihre Existenz aus dem Internet angreifbar. Der Upstream-Advisory bewertet den isolierten Fehler als „Low“; Canonical weist dagegen 8,1 nach CVSS 3.1 und 9,2 – kritisch – nach CVSS 4.0 aus. Die Blog-Warnstufe folgt wegen möglicher Codeausführung ohne Anmeldung der erreichbaren Verarbeitungskette, nicht der beruhigendsten Zahl.

Die Paketlage verlangt mehr Aufmerksamkeit als ein pauschales „apt upgrade und fertig“:

• Upstream gelten ImageMagick 7.1.2-15 und 6.9.13-40 als korrigiert.
• Canonicals Einzel-CVE-Seite führt Ubuntu 24.04 LTS weiterhin als verwundbar; USN-8739-1 nennt dafür kein korrigiertes Paket.
• Für Ubuntu 22.04 LTS nennt das USN als ESM-Paket 8:6.9.11.60+dfsg-1.3ubuntu0.22.04.5+esm14.
• Ubuntu 26.04 LTS ist laut Einzel-CVE-Seite nicht betroffen.
• Der Debian Security Tracker sollte für Debian-Systeme und deren konkreten Paketstand separat geprüft werden.

Als redaktionelle Betriebsempfehlung gilt: Bis ein passendes Paket verfügbar und installiert ist, sollten öffentlich erreichbare Dienste SVG-Verarbeitung sperren oder konsequent isolieren. Eine Sperre sollte sich nicht nur auf die Dateiendung verlassen. Wenn SVG fachlich erforderlich ist, gehört der Bildprozessor in eine Sandbox mit minimalen Rechten und ohne unnötigen Netzwerkzugang.

In den hier geprüften Hersteller- und Distributionsquellen wird mit Stand 9. September 2026 keine aktive Ausnutzung genannt. Das Upstream-Advisory führt die SSVC-Ausnutzungsbewertung – ein Entscheidungsmodell zur Priorisierung von Schwachstellen – als „none“. Das ist kein Beweis, dass außerhalb dieser Quellen kein Angriff stattfindet.

Quellen: Ubuntu Security Notice USN-8739-1, Ubuntu: CVE-2026-56379, ImageMagick Advisory, Debian Security Tracker.