Ang ImageMagick package, nga sagad gigamit sa mga web developers sa pag-convert sa mga hulagway, adunay vulnerability CVE-2022-44268, nga mahimong mosangpot sa leakage sa mga sulod sa file kung ang PNG nga mga hulagway nga giandam sa usa ka tig-atake makabig gamit ang ImageMagick. Ang pagkahuyang makaapekto sa mga sistema nga nagproseso sa gawas nga mga imahe ug dayon gitugotan ang mga resulta sa pagkakabig nga ma-load.
Ang pagkahuyang tungod sa kamatuoran nga kung ang ImageMagick nagproseso sa usa ka PNG nga imahe, gigamit niini ang sulud sa parameter nga "profile" gikan sa bloke sa metadata aron mahibal-an ang ngalan sa file sa profile, nga gilakip sa sangputanan nga file. Busa, alang sa usa ka pag-atake, igo na nga idugang ang parameter nga "profile" nga adunay gikinahanglan nga agianan sa file ngadto sa PNG nga imahe (pananglitan, "/etc/passwd") ug kung giproseso ang ingon nga imahe, pananglitan, kung gi-resize ang imahe. , ang mga sulod sa gikinahanglan nga payl ilakip sa output file . Kung imong ipiho ang "-" imbes usa ka ngalan sa file, ang handler magbitay nga naghulat alang sa input gikan sa standard nga sapa, nga magamit aron mahimong hinungdan sa pagdumili sa serbisyo (CVE-2022-44267).
Ang usa ka update aron ayohon ang pagkahuyang wala pa gipagawas, apan ang mga nag-develop sa ImageMagick nagrekomenda nga ingon usa ka solusyon aron mapugngan ang pagtulo, paghimo usa ka lagda sa mga setting nga nagpugong sa pag-access sa pipila nga mga agianan sa file. Pananglitan, sa pagdumili sa pag-access pinaagi sa hingpit ug paryente nga mga agianan, mahimo nimong idugang ang mosunod sa policy.xml:
Usa ka script alang sa paghimo og PNG nga mga imahe nga nagpahimulos sa pagkahuyang magamit na sa publiko.
Source: opennet.ru