Napadi na aplikacije koje koriste ImageMagick u zadanoj konfiguraciji

Koordinacijski centar CERT (računalna grupa za reagiranje na izvanredne situacije) objavio je upozorenje o otkrivanju ranjivosti koje pogađaju aplikacije i web stranice koje koriste biblioteku ImageMagick u zadanoj konfiguraciji za obradu ili konverziju slika. Uspješna eksploatacija omogućava napadaču da čita i zapisuje datoteke, ovisno o pravima pristupa pod kojima se izvršava ImageMagick. Ranjivosti su dobile kodno ime ImageTragick2, prema sličnom problemu otkrivenom 2016. godine.

U posljednja dva mjeseca u ImageMagick je ispravljeno oko stotinu ranjivosti, ali problemi na koje upozorava CERT nisu uzrokovani greškama u kodu ImageMagick, već korištenjem zadani postavki koje omogućavaju pozivanje vanjskih obrada za formate SVG i PostScript.
Obrada u ImageMagick bira se na temelju sadržaja, a ne ekstenzije datoteke, stoga ako aplikacija filtrira učitavanja na razini ekstenzija, napadač može poslati podatke u formatima SVG ili PostScript, na primjer, pod krinkom datoteka s ekstenzijama JPEG ili PNG.

Mogućnost eksploatacije ranjivosti potvrđena je u aplikacijama temeljenim na Ruby on Rails i WordPressu, ali nije isključena ni u drugim projektima koji koriste ImageMagick za konverziju slika, obrezivanje i izradu sličica, poput MediaWiki, ownCloud Classic i Redmine. Problem također obuhvaća AI alate koji pozivaju ImageMagick tijekom izvršavanja zadataka povezanih s obradom slika.

Predlažu se dva scenarija napada:

• Poziv obrada sadržaja na jeziku MSL (Magick Scripting Language) putem prijenosa posebno oblikovane SVG slike, u kojoj element sadrži vezu «xlink:href» na resurs s protokolom «MSL:». ImageMagick interpretira sadržaj tog resursa kao MSL skriptu, pri čemu su MSL skripte dopuštene operacije zapisivanja i čitanja datoteka. Osim MSL, sličan trik sa SVG-om može se koristiti i za obradu drugih opasnih vrsta sadržaja.
• Poziv Ghostscript interpreteru za obradu sadržaja u PostScript formatu. Ghostscript se pokreće s flagom „-dSAFER“, koji ne ograničava pristup direktoriju /tmp, što omogućuje napadaču da čita ili mijenja datoteke u tom direktoriju (na primjer, aplikacije mogu privremeno pohraniti podatke sesija i učitane datoteke u /tmp). U Ghostscript-u se također redovito nalaze ranjivosti koje omogućuju potpuno zaobilaženje ograničenja „-dSAFER“ (posljednja takva ranjivost otkrivena je 10. novembra).

Za blokiranje ranjivosti nije dovoljno ažurirati ImageMagick, već je potrebno izmijeniti postavke u datoteci /etc/ImageMagick/policy.xml, u kojoj je potrebno ostaviti samo podršku najnužnijim formatima i operacijama ili barem zabraniti poziv vanjskih obraditelja za formate MSL, MVG, PS, EPS i PDF. Osim toga, preporuča se izolirati kod za transformaciju vanjskih slika u zasebnom kontejneru, provjeravati datoteke ne samo po ekstenziji, već i prema sadržaju, i podesiti praćenje logova ImageMagick-a na greške i neuobičajene aktivnosti.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Izvor: opennet.ru