Rünnakud rakendustele, mis kasutavad ImageMagicki vaikimisi seadistuses

Koordineerimiskeskus CERT (kompuutrigrupp hädaolukordadele reageerimiseks) avaldas hoiatuse haavatavuste osas, mis mõjutavad rakendusi ja veebisaite, mis kasutavad ImageMagick'i teeki vaikeseadetega piltide töötlemiseks või teisendamiseks. Edukas kuritarvitamine võimaldab ründajal lugeda ja kirjutada faile vastavalt õigustele, millega ImageMagick töötab. Haavatavustele on antud koodnimi ImageTragick2, sarnaselt 2016. aastal avastatud probleemile.

Viimase kahe kuu jooksul on ImageMagick's kõrvaldatud umbes sada haavatavust, kuid CERTi hoiatustes käsitletud probleemid ei tulene ImageMagick'i koodi vigadest, vaid vaikeseadete kasutamisest, mis lubavad väliste töötlejate kutsumist SVG ja PostScript formaate.
Töötleja ImageMagick'is valitakse sisu, mitte faili laiendi põhjal, seega kui rakendus filtreerib üleslaadimisi laiendite tasandil, võib ründaja saata andmeid SVG või PostScript formaadis, näiteks JPEG või PNG faili väidetavalt.

Haavatavuse ärakasutamise võimalus on kinnitatud Ruby on Rails ja WordPress'i põhistel rakendustel, kuid ei saa välistada ka teistes projektides, mis kasutavad ImageMagick'i piltide teisendamiseks, kärpimiseks ja miniatuuri loomiseks, nagu MediaWiki, ownCloud Classic ja Redmine. Probleem hõlmab ka AI-tööriistu, mis kutsuvad ImageMagick'i tööülesannete täitmisel, mis on seotud piltide töötlemisega.

Toodud on kaks rünnaku stsenaariumi:

• Sisu töötleja MSL-i (Magick Scripting Language) keeles kutsub välja, edastades spetsiaalselt vormistatud SVG-pildi, mille element sisaldab linki 'xlink:href' ressursile protokolliga 'MSL:'. ImageMagick tõlgendab selle ressursi sisu MSL keeles skriptina, kusjuures MSL-skripti lubatakse failide lugemis- ja kirjutamistoimingud. Peale MSL võib sarnast trikki SVG-ga kasutada ka teiste ohtlike sisu liikide töötlemiseks.
• Ghostscripti tõlgendi käivitamine PostScript formaadis sisu töötlemiseks. Ghostscript käivitatakse lipuga "-dSAFER", mis ei piira juurdepääsu kataloogile /tmp, võimaldades ründajal lugeda või muuta failide sisu selles kataloogis (näiteks võivad rakendused ajutiselt salvestada /tmp hulka seansside andmeid ja üles laaditud faile). Ghostscriptis tuvastatakse ka pidevalt haavatavusi, mis võimaldavad täielikult mööda minna "-dSAFER" piirangust (viimane selline haavatavus avastati 10. novembril).

Haavatavuste blokeerimiseks ei piisa ImageMagicki uuendamisest, vaid on vajalik ka seadetesse muudatused failis /etc/ImageMagick/policy.xml, milles tuleb jätta alles ainult kõige olulisemate formaatide ja tegevuste toetus või vähemalt keelata väliste töötlejate kutsumine formaatide MSL, MVG, PS, EPS ja PDF jaoks. Samuti on soovitatav isoleerida kolmandate osapoolte piltide töötlemise kood eraldi konteinerisse, kontrollida faile mitte ainult laiuse, vaid ka sisu poolest ja seadistada ImageMagicki logide jälgimine tõrgete ja ebatavalise tegevuse osas.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Allikas: opennet.ru