{"id":184253,"date":"2026-11-13T17:41:21","date_gmt":"2026-11-13T15:41:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-na-prilozheniya-ispolzuyushhie-imagemagick-v-konfiguraczii-po-umolchaniyu"},"modified":"2026-11-13T17:41:42","modified_gmt":"2026-11-13T15:41:42","slug":"attacks-on-applications-using-imagemagick-with-default-settings","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/attacks-on-applications-using-imagemagick-with-default-settings","title":{"rendered":"R\u00fcnnakud rakendustele, mis kasutavad ImageMagicki vaikimisi seadistuses","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
CERT koordinaatsenter (arvuti h\u00e4daolukordade reageerimise grupp) on avaldanud hoiatuse haavatavuste kohta, mis m\u00f5jutavad rakendusi ja veebisaite, mis kasutavad ImageMagick'i vaikeseadeid piltide t\u00f6\u00f6tlemiseks v\u00f5i teisendamiseks. Edukas \u00e4rakasutamine v\u00f5imaldab r\u00fcndajal lugeda ja kirjutada faile vastavalt \u00f5igustele, mille j\u00e4rgi ImageMagick t\u00f6\u00f6tab. Haavatavustele on antud koodnimi ImageTragick2, sarnaselt 2016. aastal tuvastatud probleemiga. <\/p>\n
Viimase kahe kuu jooksul on ImageMagick's k\u00f5rvaldatud umbes sada haavatavust, kuid CERTi hoiatustes mainitud probleemid ei tulene ImageMagick'i koodiveadest, vaid vaikimisi seadetest, mis v\u00f5imaldavad v\u00e4liste t\u00f6\u00f6tlejate kutsumist SVG ja PostScripti formaatide jaoks. \nImageMagick'i t\u00f6\u00f6tleja valitakse sisu p\u00f5hjal, mitte faili laiendi p\u00f5hjal, seega kui rakendus filtreerib \u00fcleslaadimisi laiendite tasandil, v\u00f5ib r\u00fcndaja edastada andmeid SVG v\u00f5i PostScript formaadis, n\u00e4iteks JPEG v\u00f5i PNG failide varjus. <\/p>\n
Haavatavuse \u00e4rakasutamise v\u00f5imalus on kinnitatud Ruby on Rails ja WordPressi baasil olevates rakendustes, kuid see ei ole v\u00e4listatud ka teistes projektides, mis kasutavad ImageMagick'i piltide konverteerimiseks, l\u00f5ikamiseks ja miniatuuride loomiseks, nagu MediaWiki, ownCloud Classic ja Redmine. Probleem h\u00f5lmab ka AI t\u00f6\u00f6riistu, mis kutsuvad ImageMagick'i \u00fclesannete t\u00e4itmiseks, mis on seotud piltide t\u00f6\u00f6tlemisega.<\/p>\n
Toodud on kaks r\u00fcnnaku stsenaariumit:<\/p>\n
\n
MSL (Magick Scripting Language) skripti t\u00f6\u00f6tleja kutsumine, edastades spetsiaalselt vormistatud SVG-pildi, milles element sisaldab linki «xlink:href» ressursile protokolliga «MSL:». ImageMagick t\u00f5lgendab selle ressursi sisu kui MSL-keeles skripti, kus MSL-skriptides lubatakse faili lugemise ja kirjutamise toimingud. Lisaks MSL-le saab sarnast trikki SVG-ga kasutada ka teiste ohtlike sisu liikide t\u00f6\u00f6tlemiseks.\n
Ghostscript t\u00f5lgendaja k\u00e4ivitamine PostScript formaadis sisu t\u00f6\u00f6tlemiseks. Ghostscript k\u00e4ivitatakse lipuga «-dSAFER», mis ei piirata juurdep\u00e4\u00e4su kataloogile \/tmp, lubades r\u00fcndajal lugeda v\u00f5i muuta selle katalooge faile (n\u00e4iteks v\u00f5ivad rakendused ajutiselt salvestada \/tmp sessiooni andmeid ja \u00fcleslaaditud faile). Ghostscriptist leitatakse regulaarselt haavatavusi, mis v\u00f5imaldavad t\u00e4ielikult m\u00f6\u00f6da minna «-dSAFER» piirangust (viimane selline haavatavus avaldati 10. novembril).\n<\/ul>\n
Haavatavuste blokeerimiseks ei piisa ImageMagick'i uuendamisest, vaid on vajalik muuta seadeid failis \/etc\/ImageMagick\/policy.xml, kus tuleb j\u00e4tta alles ainult k\u00f5ige vajalikumaid vormingute ja operatsioonide toimetamine v\u00f5i v\u00e4hemalt keelata v\u00e4liste t\u00f6\u00f6tlejate k\u00e4ivitamine MSL, MVG, PS, EPS ja PDF vormingute jaoks. Peale selle soovitatakse isoleerida kolmanda osapoole piltide konverteerimise kood eraldi konteinerisse, kontrollida faile mitte ainult laiendi, vaid ka sisu p\u00f5hjal ning seadistada ImageMagick'i logide j\u00e4lgimine t\u00f5rgete ja ebatavalise tegevuse j\u00e4lgimiseks.<\/p>\n