ইমেজ ম্যাজিকের দুর্বলতা যা স্থানীয় ফাইলের বিষয়বস্তু ফাঁস করে

ImageMagick প্যাকেজ, যা প্রায়ই ওয়েব ডেভেলপাররা ছবি রূপান্তর করতে ব্যবহার করে, এর একটি দুর্বলতা রয়েছে CVE-2022-44268, যা যদি কোনো আক্রমণকারী দ্বারা প্রস্তুত করা PNG ছবিগুলি ImageMagick ব্যবহার করে রূপান্তরিত হয় তাহলে ফাইলের বিষয়বস্তু ফাঁস হতে পারে। দুর্বলতা সেই সিস্টেমগুলিকে প্রভাবিত করে যা বাহ্যিক চিত্রগুলিকে প্রক্রিয়া করে এবং তারপরে রূপান্তর ফলাফলগুলি লোড করার অনুমতি দেয়৷

দুর্বলতা এই কারণে ঘটে যে যখন ImageMagick একটি PNG ইমেজ প্রক্রিয়া করে, এটি প্রোফাইল ফাইলের নাম নির্ধারণ করতে মেটাডেটা ব্লক থেকে "প্রোফাইল" প্যারামিটারের বিষয়বস্তু ব্যবহার করে, যা ফলাফল ফাইলে অন্তর্ভুক্ত করা হয়। সুতরাং, একটি আক্রমণের জন্য, পিএনজি চিত্রে প্রয়োজনীয় ফাইল পাথ সহ "প্রোফাইল" প্যারামিটার যোগ করা যথেষ্ট (উদাহরণস্বরূপ, "/etc/passwd") এবং এই জাতীয় চিত্র প্রক্রিয়া করার সময়, উদাহরণস্বরূপ, চিত্রটির আকার পরিবর্তন করার সময় , প্রয়োজনীয় ফাইলের বিষয়বস্তু আউটপুট ফাইলে অন্তর্ভুক্ত করা হবে। যদি আপনি একটি ফাইলের নামের পরিবর্তে "-" উল্লেখ করেন, হ্যান্ডলার স্ট্যান্ডার্ড স্ট্রীম থেকে ইনপুটের জন্য অপেক্ষা করবে, যা পরিষেবা অস্বীকার করার জন্য ব্যবহার করা যেতে পারে (CVE-2022-44267)।

দুর্বলতা ঠিক করার জন্য একটি আপডেট এখনও প্রকাশিত হয়নি, তবে ইমেজ ম্যাজিক ডেভেলপাররা সুপারিশ করেছেন যে ফাঁসটি ব্লক করার জন্য একটি সমাধান হিসাবে, সেটিংসে একটি নিয়ম তৈরি করুন যা নির্দিষ্ট ফাইল পাথগুলিতে অ্যাক্সেস সীমাবদ্ধ করে। উদাহরণস্বরূপ, পরম এবং আপেক্ষিক পাথের মাধ্যমে অ্যাক্সেস অস্বীকার করার জন্য, আপনি নীতি.xml-এ নিম্নলিখিত যোগ করতে পারেন:

PNG ছবি তৈরি করার জন্য একটি স্ক্রিপ্ট যা দুর্বলতাকে কাজে লাগায় তা ইতিমধ্যেই সর্বজনীনভাবে উপলব্ধ।

উত্স: opennet.ru