Angreb på applikationer, der bruger ImageMagick med standardkonfigurationen

CERTs koordineringscenter (computergruppe for reaktion på nødsituationer) har offentliggjort en advarsel om opdagelse af sårbarheder, der påvirker applikationer og websteder, der bruger ImageMagick-biblioteket i standardkonfigurationen til behandling eller konvertering af billeder. En vellykket udnyttelse giver en angriber mulighed for at læse og skrive filer, alt efter de adgangsrettigheder, som ImageMagick kører med. Sårbarhederne er blevet tildelt kodenavnet ImageTragick2, i lighed med problemet, der blev opdaget i 2016.

I løbet af de sidste to måneder er der blevet rettet omkring hundrede sårbarheder i ImageMagick, men problemerne, som CERT advarer om, skyldes ikke fejl i ImageMagick-koden, men snarere standardindstillinger, der tillader kald af eksterne processorer for SVG- og PostScript-formater.
Processoren i ImageMagick vælges baseret på indholdet, ikke filtypen, så hvis applikationen filtrerer uploads efter filtypen, kan en angriber sende data i SVG- eller PostScript-formaterne, for eksempel under dække af filer med JPEG- eller PNG-udvidelser.

Muligheden for at udnytte sårbarheden er bekræftet i applikationer baseret på Ruby on Rails og WordPress, men det udelukkes ikke i andre projekter, der bruger ImageMagick til konvertering af billeder, beskæring og oprettelse af miniaturebilleder, såsom MediaWiki, ownCloud Classic og Redmine. Problemet omfatter også AI-værktøjer, der kalder ImageMagick under udførelse af opgaver relateret til billedbehandling.

Der gives to angrebsscenarier:

• Kald til indholdshåndtereren i MSL (Magick Scripting Language) ved at sende et specielt formateret SVG-billede, hvor elementet indeholder et link «xlink:href» til en ressource med protokollen «MSL:». ImageMagick fortolker indholdet af denne ressource som et skript i MSL-sproget, idet MSL-scripts tillader både læse- og skriveoperationer på filer. Ud over MSL kan et lignende trick med SVG også bruges til at behandle andre farlige typer indhold.
• Kald af Ghostscript-fortolkeren for at behandle indhold i PostScript-format. Ghostscript startes med flaget "-dSAFER", som ikke begrænser adgangen til mappen /tmp, hvilket gør det muligt for en angriber at læse eller ændre filer i denne mappe (for eksempel kan applikationer midlertidigt gemme sessiondata og uploadede filer i /tmp). I Ghostscript finder man også regelmæssigt sårbarheder, der fuldstændigt kan omgå begrænsningen "-dSAFER" (den seneste sårbarhed blev afsløret den 10. november).

Det er ikke nok at opdatere ImageMagick for at blokere sårbarhederne; der skal foretages ændringer i konfigurationsfilen /etc/ImageMagick/policy.xml, hvor man kun skal tillade de mest nødvendige formater og operationer, eller i det mindste forbyde kald til eksterne behandlere for formaterne MSL, MVG, PS, EPS og PDF. Derudover anbefales det at isolere koden til konvertering af eksterne billeder i en separat container, at kontrollere filer ikke kun efter filendelse, men også efter indhold, samt at opsætte overvågning af ImageMagick-loggerne for fejl og usædvanlig aktivitet.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Kilde: opennet.ru