Paket ImageMagick, koji web programeri često koriste za pretvaranje slika, ima ranjivost CVE-2022-44268, koja može dovesti do curenja sadržaja datoteke ako se PNG slike koje je pripremio napadač konvertiraju pomoću ImageMagicka. Ranjivost utječe na sustave koji obrađuju vanjske slike i zatim dopuštaju učitavanje rezultata konverzije.
Ranjivost je uzrokovana činjenicom da kada ImageMagick obrađuje PNG sliku, koristi sadržaj parametra "profile" iz bloka metapodataka kako bi odredio naziv datoteke profila, koja je uključena u rezultirajuću datoteku. Dakle, za napad je dovoljno dodati parametar “profile” sa traženom putanjom datoteke na PNG sliku (npr. “/etc/passwd”) i prilikom obrade takve slike, npr. prilikom promjene veličine slike , sadržaj tražene datoteke bit će uključen u izlaznu datoteku. Ako navedete "-" umjesto naziva datoteke, rukovatelj će se zaustaviti čekajući unos iz standardnog toka, koji se može koristiti za izazivanje odbijanja usluge (CVE-2022-44267).
Ažuriranje za ispravljanje ranjivosti još nije objavljeno, ali ImageMagick programeri preporučuju da kao zaobilazno rješenje za blokiranje curenja, napravite pravilo u postavkama koje ograničavaju pristup određenim stazama datoteka. Na primjer, da biste zabranili pristup putem apsolutnih i relativnih putanja, možete dodati sljedeće u policy.xml:
Skripta za generiranje PNG slika koje iskorištavaju ranjivost već je javno dostupna.
Izvor: opennet.ru