{"id":184253,"date":"2026-11-13T17:41:21","date_gmt":"2026-11-13T15:41:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-na-prilozheniya-ispolzuyushhie-imagemagick-v-konfiguraczii-po-umolchaniyu"},"modified":"2026-11-13T17:41:42","modified_gmt":"2026-11-13T15:41:42","slug":"attacks-on-applications-using-imagemagick-with-default-settings","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/attacks-on-applications-using-imagemagick-with-default-settings","title":{"rendered":"Angreb p\u00e5 applikationer, der bruger ImageMagick med standardkonfigurationen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
CERTs koordineringscenter (computergruppe for reaktion p\u00e5 n\u00f8dsituationer) har offentliggjort en advarsel om opdagelse af s\u00e5rbarheder, der p\u00e5virker applikationer og websteder, der bruger ImageMagick-biblioteket i standardkonfigurationen til behandling eller konvertering af billeder. En vellykket udnyttelse giver en angriber mulighed for at l\u00e6se og skrive filer, alt efter de adgangsrettigheder, som ImageMagick k\u00f8rer med. S\u00e5rbarhederne er blevet tildelt kodenavnet ImageTragick2, i lighed med problemet, der blev opdaget i 2016. <\/p>\n
I l\u00f8bet af de sidste to m\u00e5neder er der blevet rettet omkring hundrede s\u00e5rbarheder i ImageMagick, men problemerne, som CERT advarer om, skyldes ikke fejl i ImageMagick-koden, men snarere standardindstillinger, der tillader kald af eksterne processorer for SVG- og PostScript-formater. \nProcessoren i ImageMagick v\u00e6lges baseret p\u00e5 indholdet, ikke filtypen, s\u00e5 hvis applikationen filtrerer uploads efter filtypen, kan en angriber sende data i SVG- eller PostScript-formaterne, for eksempel under d\u00e6kke af filer med JPEG- eller PNG-udvidelser. <\/p>\n
Muligheden for at udnytte s\u00e5rbarheden er bekr\u00e6ftet i applikationer baseret p\u00e5 Ruby on Rails og WordPress, men det udelukkes ikke i andre projekter, der bruger ImageMagick til konvertering af billeder, besk\u00e6ring og oprettelse af miniaturebilleder, s\u00e5som MediaWiki, ownCloud Classic og Redmine. Problemet omfatter ogs\u00e5 AI-v\u00e6rkt\u00f8jer, der kalder ImageMagick under udf\u00f8relse af opgaver relateret til billedbehandling.<\/p>\n
Der gives to angrebsscenarier:<\/p>\n
\n
Kald af indholdsh\u00e5ndtereren p\u00e5 MSL (Magick Scripting Language) via overf\u00f8rsel af et specielt formateret SVG-billede, hvor elementet indeholder et link «xlink:href» til en ressource med protokollen «MSL:». ImageMagick fortolker indholdet af denne ressource som et script p\u00e5 MSL, hvori der tillades b\u00e5de skrive- og l\u00e6seoperationer. Udover MSL kan et tilsvarende trick med SVG ogs\u00e5 anvendes til behandling af andre farlige typer indhold.\n
Kald af Ghostscript-fortolkeren til behandling af indhold i PostScript-format. Ghostscript startes med flaget «-dSAFER», som ikke begr\u00e6nser adgangen til mappen \/tmp, hvilket g\u00f8r det muligt for en angriber at l\u00e6se eller \u00e6ndre filer i denne mappe (for eksempel kan applikationer midlertidigt gemme sessiondata og uploadede filer i \/tmp). Der findes ogs\u00e5 regelm\u00e6ssigt s\u00e5rbarheder i Ghostscript, der fuldst\u00e6ndigt kan omg\u00e5 «-dSAFER» begr\u00e6nsningen (den seneste s\u00e5rbarhed blev afsl\u00f8ret den 10. november).\n<\/ul>\n
Det er ikke nok at opdatere ImageMagick for at blokere s\u00e5rbarhederne; der skal foretages \u00e6ndringer i konfigurationsfilen \/etc\/ImageMagick\/policy.xml, hvor man kun skal tillade de mest n\u00f8dvendige formater og operationer, eller i det mindste forbyde kald til eksterne behandlere for formaterne MSL, MVG, PS, EPS og PDF. Derudover anbefales det at isolere koden til konvertering af eksterne billeder i en separat container, at kontrollere filer ikke kun efter filendelse, men ogs\u00e5 efter indhold, samt at ops\u00e6tte overv\u00e5gning af ImageMagick-loggerne for fejl og us\u00e6dvanlig aktivitet.<\/p>\n