{"id":184253,"date":"2026-11-13T17:41:21","date_gmt":"2026-11-13T15:41:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-na-prilozheniya-ispolzuyushhie-imagemagick-v-konfiguraczii-po-umolchaniyu"},"modified":"2026-11-13T17:41:42","modified_gmt":"2026-11-13T15:41:42","slug":"attacks-on-applications-using-imagemagick-with-default-settings","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/attacks-on-applications-using-imagemagick-with-default-settings","title":{"rendered":"Angriffe auf Anwendungen, die ImageMagick mit den Standardeinstellungen verwenden","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das CERT-Koordinationszentrum (Computer Emergency Response Team) hat eine Warnung \u00fcber die Entdeckung von Sicherheitsanf\u00e4lligkeiten ver\u00f6ffentlicht, die Anwendungen und Websites betreffen, die die Standardkonfiguration der ImageMagick-Bibliothek zur Verarbeitung oder Umwandlung von Bildern verwenden. Eine erfolgreiche Ausnutzung erm\u00f6glicht es einem Angreifer, Dateien zu lesen und zu schreiben, je nach den Berechtigungen, unter denen ImageMagick ausgef\u00fchrt wird. Den Schwachstellen wurde der Codename ImageTragick2 zugewiesen, \u00e4hnlich dem Problem, das 2016 entdeckt wurde. <\/p>\n
In den letzten zwei Monaten wurden in ImageMagick etwa hundert Sicherheitsanf\u00e4lligkeiten behoben, doch die Probleme, vor denen das CERT warnt, sind nicht auf Fehler im ImageMagick-Code zur\u00fcckzuf\u00fchren, sondern auf die standardm\u00e4\u00dfig konfigurierten Einstellungen, die den Aufruf externer Handler f\u00fcr SVG- und PostScript-Formate zulassen. \nDer Handler in ImageMagick wird basierend auf dem Inhalt und nicht auf der Dateierweiterung ausgew\u00e4hlt, sodass, selbst wenn die Anwendung Uploads nach Dateierweiterungen filtert, ein Angreifer Daten in SVG- oder PostScript-Formaten \u00fcbermitteln kann, beispielsweise im Gewand von JPEG- oder PNG-Dateien. <\/p>\n
Die M\u00f6glichkeit zur Ausnutzung der Schwachstelle wurde in Anwendungen wie Ruby on Rails und WordPress best\u00e4tigt, aber auch in anderen Projekten, die ImageMagick zur Bildkonvertierung, Zuschneidung und Erstellung von Thumbnails verwenden, wie MediaWiki, ownCloud Classic und Redmine, ist sie nicht ausgeschlossen. Das Problem betrifft auch KI-Tools, die ImageMagick zur Ausf\u00fchrung von Aufgaben im Zusammenhang mit der Bildverarbeitung aufrufen.<\/p>\n
Es werden zwei Angriffsszenarien beschrieben:<\/p>\n
\n
Aufruf des Inhaltsverarbeiters in der Sprache MSL (Magick Scripting Language) durch die \u00dcbertragung eines speziell formatierten SVG-Bildes, das ein Element enth\u00e4lt, in dem der Link «xlink:href» auf eine Ressource mit dem Protokoll «MSL:» verweist. ImageMagick interpretiert den Inhalt dieser Ressource als Skript in MSL, wobei in MSL-Skripten Lese- und Schreiboperationen auf Dateien erlaubt sind. Neben MSL kann ein \u00e4hnlicher Trick mit SVG auch zur Verarbeitung anderer gef\u00e4hrlicher Inhaltsarten verwendet werden.\n
Aufruf des Ghostscript-Interpreters zur Verarbeitung von Inhalten im PostScript-Format. Ghostscript wird mit dem Flag «-dSAFER» gestartet, das den Zugriff auf das Verzeichnis \/tmp nicht einschr\u00e4nkt, was es einem Angreifer erm\u00f6glicht, Dateien in diesem Verzeichnis zu lesen oder zu ver\u00e4ndern (zum Beispiel k\u00f6nnen Anwendungen tempor\u00e4r Daten von Sitzungen und hochgeladene Dateien in \/tmp speichern). In Ghostscript werden regelm\u00e4\u00dfig Schwachstellen entdeckt, die eine vollst\u00e4ndige Umgehung der Einschr\u00e4nkung «-dSAFER» erm\u00f6glichen (die letzte solche Schwachstelle wurde am 10. November offengelegt).\n<\/ul>\n
Es reicht nicht aus, ImageMagick zu aktualisieren, um Schwachstellen zu blockieren; es m\u00fcssen \u00c4nderungen an den Einstellungen in der Datei \/etc\/ImageMagick\/policy.xml vorgenommen werden, in der nur die Unterst\u00fctzung der notwendigsten Formate und Operationen bestehen bleiben darf oder zumindest der Aufruf externer Handler f\u00fcr die Formate MSL, MVG, PS, EPS und PDF verboten werden sollte. Au\u00dferdem wird empfohlen, den Code zur Umwandlung von externen Bildern in einem separaten Container zu isolieren, Dateien nicht nur nach Erweiterung, sondern auch nach Inhalt zu \u00fcberpr\u00fcfen und die Protokolle von ImageMagick auf Ausf\u00e4lle und ungew\u00f6hnliche Aktivit\u00e4ten zu \u00fcberwachen.<\/p>\n