Útoky na aplikace využívající ImageMagick ve výchozí konfiguraci

Koordinační centrum CERT (skupina pro reakci na počítačové nouzové situace) zveřejnilo varování o odhalení zranitelností, které se týkají aplikací a webů používajících knihovnu ImageMagick v základní konfiguraci pro zpracování nebo převod obrázků. Úspěšná exploatace umožňuje útočníkovi číst a zapisovat soubory, v závislosti na oprávněních, pod kterými ImageMagick běží. Zranitelnost byla pojmenována ImageTragick2, podle problému zjištěného v roce 2016.

Během posledních dvou měsíců bylo v ImageMagick opraveno kolem sta zranitelností, ale problémy, na které CERT upozorňuje, jsou způsobeny nikoli chybami v kódu ImageMagick, ale výchozím nastavením, které umožňuje volání externích zpracovatelů pro formáty SVG a PostScript.
Zpracovatel v ImageMagick je vybírán na základě obsahu, nikoli podle přípony souboru, takže pokud aplikace filtruje nahrávání podle přípon, může útočník poskytnout data ve formátech SVG nebo PostScript, například v podobě souborů s příponou JPEG nebo PNG.

Možnost exploatace zranitelnosti byla potvrzena v aplikacích založených na Ruby on Rails a WordPress, ale není vyloučena ani v dalších projektech používajících ImageMagick pro konverzi obrázků, ořezávání a vytváření miniatur, jako jsou MediaWiki, ownCloud Classic a Redmine. Problém se také týká nástrojů AI, které vyžadují ImageMagick při vykonávání úkolů souvisejících se zpracováním obrázků.

Jsou uvedeny dva scénáře útoku:

• Volání zpracovatele obsahu v jazyce MSL (Magick Scripting Language) prostřednictvím předání speciálně sestaveného SVG obrázku, který obsahuje prvek s odkazem „xlink:href“ na zdroj s protokolem „MSL:“. ImageMagick interpretuje obsah tohoto zdroje jako skript v jazyce MSL, přičemž ve skriptech MSL jsou povoleny operace čtení a zápisu souborů. Kromě MSL může být podobný trik se SVG použit také pro zpracování dalších nebezpečných typů obsahu.
• Volání interpreteru Ghostscript pro zpracování obsahu ve formátu PostScript. Ghostscript je spouštěno s příznakem "-dSAFER", který neomezuje přístup k adresáři /tmp, což umožňuje útočníkovi číst nebo měnit soubory v tomto adresáři (například aplikace mohou do /tmp dočasně uložit data relací a nahrané soubory). V Ghostscript se také pravidelně objevují zranitelnosti, které umožňují úplně obejít omezení "-dSAFER" (poslední taková zranitelnost byla zveřejněna 10. listopadu).

K zablokování zranitelností nestačí aktualizace ImageMagick, ale je zapotřebí změnit nastavení v souboru /etc/ImageMagick/policy.xml, ve kterém je nutné nechat pouze podporu nejdůležitějších formátů a operací nebo alespoň zakázat volání externích zpracovatelů pro formáty MSL, MVG, PS, EPS a PDF. Kromě toho se doporučuje izolovat kód pro převod externích obrázků do samostatného kontejneru, kontrolovat soubory nejen podle přípony, ale i obsahu a nastavit monitoring logů ImageMagick na selhání a neobvyklou aktivitu.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Zdroj: opennet.ru