← Back to branch summary

~ubuntu-security/ubuntu-cve-tracker/master

« back to all changes in this revision

Viewing changes to mir_reviews/libimage-exiftool-perl/audits/bug.txt

  • Committer: Steve Beattie
  • Date: 2019-02-19 06:18:27 UTC
  • Revision ID: sbeattie@ubuntu.com-20190219061827-oh57fzcfc1u9dlfk
The ubuntu-cve-tracker project has been converted to git.

Please use 'git clone https://git.launchpad.net/ubuntu-cve-tracker' to
get the converted tree.

Show diffs side-by-side

added added

removed removed

Lines of Context:
mir_reviews/libimage-exiftool-perl/audits/bug.txt
1
 
I reviewed libimage-exiftool-perl version 10.00-1 as checked into Ubuntu
2
 
wily. This shouldn't be considered a full security audit and indeed I
3
 
reviewed less code than I'd like due to time constraints.
4
 
 
5
 
This codebase is incredibly complicated; it embeds knowledge about
6
 
hundreds, if not thousands, of image formats and metadata formats. It's
7
 
been well-designed to use little miniature methods defined as strings in
8
 
hashes which makes for a nice object-oriented design. However, this also
9
 
makes it nearly impossible to discover potential locations where untrusted
10
 
inputs may be executed as perl code because the eval feature is used
11
 
hundreds of times, both for error handling and these micromethods.
12
 
 
13
 
I believe I found a security issue while investigating and have mailed the
14
 
author for feedback; it's complicated enough that I'm not certain of my
15
 
finding.
16
 
 
17
 
The coding looks disciplined, the copious comments are helpful, and
18
 
there's a good selection of tests run during the build. The sketchiest
19
 
code appeared to be used for code generation and documentation generation;
20
 
code that handles file inputs checked arguments extensively.
21
 
 
22
 
Security team ACK for promoting libimage-exiftool-perl to main.
23
 
 
24
 
Thanks