Атаки срещу приложения, използващи ImageMagick в конфигурация по подразбиране

Координационният център CERT (група за компютърно реагиране на извънредни ситуации) публикува предупреждение за откритите уязвимости, засягащи приложения и сайтове, използващи библиотеката ImageMagick в конфигурация по подразбиране за обработка или преобразуване на изображения. Успешната експлоатация позволява на атакуващия да чете и записва файлове, съгласно правата за достъп, под които работи ImageMagick. Уязвимостите носят кодовото име ImageTragick2, по аналогия с проблема, открит през 2016 година.

През последните два месеца в ImageMagick са отстранени около сто уязвимости, но проблемите, за които предупреждава CERT, не са причинени от грешки в кода на ImageMagick, а от използването на настройки по подразбиране, допускащи извиквания на външни обработвачи за формати SVG и PostScript.
Обработвачът в ImageMagick се избира в зависимост от съдържанието, а не от разширението на файла, затова ако приложението филтрира качвания на ниво разширения, атакуващия може да предаде данни във формати SVG или PostScript, например, под формата на файлове с разширение JPEG или PNG.

Възможността за експлоатация на уязвимостта е потвърдена в приложения, базирани на Ruby on Rails и WordPress, но не се изключва и в други проекти, използващи ImageMagick за конвертиране на изображения, изрязване и създаване на миниатюри, като MediaWiki, ownCloud Classic и Redmine. Проблемът засяга и AI-инструменти, които извикват ImageMagick при изпълнение на задачи, свързани с обработката на изображения.

Посочени са два сценария на атака:

• Извикване на обработвача на съдържанието на езика MSL (Magick Scripting Language) чрез предаване на специално оформено SVG-изображение, в което елементът съдържа линк „xlink:href“ към ресурс с протокол „MSL:“. ImageMagick интерпретира съдържанието на този ресурс като скрипт на MSL, а в MSL скриптовете се допуска изпълнението на операции за запис и четене на файлове. Освен MSL, подобен трик със SVG може да бъде използван и за обработка на други опасни видове съдържание.
• Извикване на интерпретатора Ghostscript за обработка на съдържание във формат PostScript. Ghostscript стартира с флага "-dSAFER", който не ограничава достъпа до директорията /tmp, позволявайки на нападателя да чете или променя файлове в тази директория (например, приложенията могат временно да съхраняват в /tmp данни за сесии и качени файлове). В Ghostscript също така редовно се откриват уязвимости, позволяващи напълно да се заобиколи ограничението "-dSAFER" (последната такава уязвимост беше разкрита на 10 ноември).

За блокиране на уязвимостите не е достатъчно обновлението на ImageMagick, а е необходимо изменение на настройките в файла /etc/ImageMagick/policy.xml, в който трябва да оставите само поддръжката на най-необходимите формати и операции или поне да забраните извикването на външни обработвачи за формати MSL, MVG, PS, EPS и PDF. Освен това се препоръчва кодът за преобразуване на външни изображения да бъде изолиран в отделен контейнер, файловете да се проверяват не само по разширение, но и по съдържание, и да се настрои мониторинг на логовете на ImageMagick за проблеми и необичайна активност.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Източник: opennet.ru