Angriffe auf Anwendungen, die ImageMagick mit den Standardeinstellungen verwenden

Das CERT-Koordinationszentrum (Computer Emergency Response Team) hat eine Warnung über die Entdeckung von Sicherheitsanfälligkeiten veröffentlicht, die Anwendungen und Websites betreffen, die die Standardkonfiguration der ImageMagick-Bibliothek zur Verarbeitung oder Umwandlung von Bildern verwenden. Eine erfolgreiche Ausnutzung ermöglicht es einem Angreifer, Dateien zu lesen und zu schreiben, je nach den Berechtigungen, unter denen ImageMagick ausgeführt wird. Den Schwachstellen wurde der Codename ImageTragick2 zugewiesen, ähnlich dem Problem, das 2016 entdeckt wurde.

In den letzten zwei Monaten wurden in ImageMagick etwa hundert Sicherheitsanfälligkeiten behoben, doch die Probleme, vor denen das CERT warnt, sind nicht auf Fehler im ImageMagick-Code zurückzuführen, sondern auf die standardmäßig konfigurierten Einstellungen, die den Aufruf externer Handler für SVG- und PostScript-Formate zulassen.
Der Handler in ImageMagick wird basierend auf dem Inhalt und nicht auf der Dateierweiterung ausgewählt, sodass, selbst wenn die Anwendung Uploads nach Dateierweiterungen filtert, ein Angreifer Daten in SVG- oder PostScript-Formaten übermitteln kann, beispielsweise im Gewand von JPEG- oder PNG-Dateien.

Die Möglichkeit zur Ausnutzung der Schwachstelle wurde in Anwendungen wie Ruby on Rails und WordPress bestätigt, aber auch in anderen Projekten, die ImageMagick zur Bildkonvertierung, Zuschneidung und Erstellung von Thumbnails verwenden, wie MediaWiki, ownCloud Classic und Redmine, ist sie nicht ausgeschlossen. Das Problem betrifft auch KI-Tools, die ImageMagick zur Ausführung von Aufgaben im Zusammenhang mit der Bildverarbeitung aufrufen.

Es werden zwei Angriffsszenarien beschrieben:

• Der Aufruf eines Inhalts-Handlers in der MSL (Magick Scripting Language) durch das Übermitteln eines speziell formatierten SVG-Bildes, in dem das Element einen Link «xlink:href» auf eine Ressource mit dem Protokoll «MSL:» enthält. ImageMagick interpretiert den Inhalt dieser Ressource als Skript in der MSL-Sprache, wobei in MSL-Skripten Lese- und Schreiboperationen auf Dateien zulässig sind. Neben MSL kann ein ähnlicher Trick mit SVG auch zur Verarbeitung anderer gefährlicher Arten von Inhalten verwendet werden.
• Aufruf des Ghostscript-Interpreters zur Verarbeitung von Inhalten im PostScript-Format. Ghostscript wird mit dem Flag „-dSAFER“ gestartet, das den Zugriff auf das Verzeichnis /tmp nicht einschränkt, wodurch ein Angreifer Dateien in diesem Verzeichnis lesen oder ändern kann (z. B. können Anwendungen temporär Daten von Sitzungen und hochgeladene Dateien in /tmp speichern). In Ghostscript werden auch regelmäßig Schwachstellen gefunden, die die Einschränkung „-dSAFER“ vollständig umgehen (die letzte solche Schwachstelle wurde am 10. November bekannt gegeben).

Es reicht nicht aus, ImageMagick zu aktualisieren, um Schwachstellen zu blockieren; es müssen Änderungen an den Einstellungen in der Datei /etc/ImageMagick/policy.xml vorgenommen werden, in der nur die Unterstützung der notwendigsten Formate und Operationen bestehen bleiben darf oder zumindest der Aufruf externer Handler für die Formate MSL, MVG, PS, EPS und PDF verboten werden sollte. Außerdem wird empfohlen, den Code zur Umwandlung von externen Bildern in einem separaten Container zu isolieren, Dateien nicht nur nach Erweiterung, sondern auch nach Inhalt zu überprüfen und die Protokolle von ImageMagick auf Ausfälle und ungewöhnliche Aktivitäten zu überwachen.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Quelle: opennet.ru