Balíček ImageMagick, který weboví vývojáři často používají ke konverzi obrázků, má zranitelnost CVE-2022-44268, která může vést k úniku obsahu souboru, pokud jsou obrázky PNG připravené útočníkem převedeny pomocí ImageMagick. Tato chyba zabezpečení ovlivňuje systémy, které zpracovávají externí obrázky a poté umožňují načtení výsledků převodu.
Chyba zabezpečení je způsobena skutečností, že když ImageMagick zpracovává obrázek PNG, používá obsah parametru „profile“ z bloku metadat k určení názvu souboru profilu, který je obsažen ve výsledném souboru. Pro útok tedy stačí do PNG obrázku přidat parametr „profile“ s požadovanou cestou k souboru (například „/etc/passwd“) a při zpracování takového obrázku např. při změně velikosti obrázku obsah požadovaného souboru bude zahrnut do výstupního souboru. Pokud zadáte "-" místo názvu souboru, obsluha přestane čekat na vstup ze standardního streamu, což lze použít k odmítnutí služby (CVE-2022-44267).
Aktualizace, která by tuto zranitelnost opravila, ještě nebyla vydána, ale vývojáři ImageMagick doporučili, aby jako řešení k zablokování úniku vytvořili v nastavení pravidlo, které omezuje přístup k určitým cestám k souborům. Chcete-li například odepřít přístup přes absolutní a relativní cesty, můžete do policy.xml přidat následující:
Skript pro generování obrázků PNG, které tuto chybu zabezpečení využívají, je již veřejně dostupný.
Zdroj: opennet.ru