{"id":184253,"date":"2026-11-13T17:41:21","date_gmt":"2026-11-13T15:41:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-na-prilozheniya-ispolzuyushhie-imagemagick-v-konfiguraczii-po-umolchaniyu"},"modified":"2026-11-13T17:41:42","modified_gmt":"2026-11-13T15:41:42","slug":"attacks-on-applications-using-imagemagick-with-default-settings","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/attacks-on-applications-using-imagemagick-with-default-settings","title":{"rendered":"Napadi na aplikacije koje koriste ImageMagick u zadanoj konfiguraciji","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Koordinacijski centar CERT (ra\u010dunalna grupa za reagiranje na izvanredne situacije) objavio je upozorenje o otkrivanju ranjivosti koje poga\u0111aju aplikacije i web stranice koje koriste biblioteku ImageMagick u zadanoj konfiguraciji za obradu ili konverziju slika. Uspje\u0161na eksploatacija omogu\u0107ava napada\u010du da \u010dita i zapisuje datoteke, ovisno o pravima pristupa pod kojima se izvr\u0161ava ImageMagick. Ranjivosti su dobile kodno ime ImageTragick2, prema sli\u010dnom problemu otkrivenom 2016. godine. <\/p>\n
U posljednja dva mjeseca u ImageMagick je ispravljeno oko stotinu ranjivosti, ali problemi na koje upozorava CERT nisu uzrokovani gre\u0161kama u kodu ImageMagick, ve\u0107 kori\u0161tenjem zadani postavki koje omogu\u0107avaju pozivanje vanjskih obrada za formate SVG i PostScript. \nObrada u ImageMagick bira se na temelju sadr\u017eaja, a ne ekstenzije datoteke, stoga ako aplikacija filtrira u\u010ditavanja na razini ekstenzija, napada\u010d mo\u017ee poslati podatke u formatima SVG ili PostScript, na primjer, pod krinkom datoteka s ekstenzijama JPEG ili PNG. <\/p>\n
Mogu\u0107nost eksploatacije ranjivosti potvr\u0111ena je u aplikacijama temeljenim na Ruby on Rails i WordPressu, ali nije isklju\u010dena ni u drugim projektima koji koriste ImageMagick za konverziju slika, obrezivanje i izradu sli\u010dica, poput MediaWiki, ownCloud Classic i Redmine. Problem tako\u0111er obuhva\u0107a AI alate koji pozivaju ImageMagick tijekom izvr\u0161avanja zadataka povezanih s obradom slika.<\/p>\n
Predla\u017eu se dva scenarija napada:<\/p>\n
\n
Poziv obraditelja sadr\u017eaja na jeziku MSL (Magick Scripting Language) putem prenosa posebno oblikovane SVG-iz slike, u kojoj element sadr\u017ei link «xlink:href» na resurs s protokolom «MSL:». ImageMagick interpretira sadr\u017eaj ovog resursa kao skript na jeziku MSL, pri \u010demu su u MSL skriptama dozvoljene operacije pisanja i \u010ditanja datoteka. Osim MSL-a, sli\u010dan trik sa SVG-om mo\u017ee se koristiti i za obradu drugih opasnih vrsta sadr\u017eaja.\n
Poziv tuma\u010da Ghostscript za obradu sadr\u017eaja u formatu PostScript. Ghostscript se pokre\u0107e s flagom «-dSAFER», koji ne ograni\u010dava pristup direktoriju \/tmp, \u0161to omogu\u0107ava napada\u010du da \u010dita ili menja datoteke u ovom direktoriju (na primjer, aplikacije mogu privremeno skladi\u0161titi podatke seansi i u\u010ditane datoteke u \/tmp). U Ghostscriptu se tako\u0111er redovito nalaze ranjivosti koje omogu\u0107uju potpuno zaobila\u017eenje ograni\u010denja «-dSAFER» (posljednja takva ranjivost otkrivena je 10. novembra).\n<\/ul>\n
Za blokiranje ranjivosti nije dovoljno a\u017eurirati ImageMagick, ve\u0107 je potrebno izmijeniti postavke u datoteci \/etc\/ImageMagick\/policy.xml, u kojoj je potrebno ostaviti samo podr\u0161ku najnu\u017enijim formatima i operacijama ili barem zabraniti poziv vanjskih obraditelja za formate MSL, MVG, PS, EPS i PDF. Osim toga, preporu\u010da se izolirati kod za transformaciju vanjskih slika u zasebnom kontejneru, provjeravati datoteke ne samo po ekstenziji, ve\u0107 i prema sadr\u017eaju, i podesiti pra\u0107enje logova ImageMagick-a na gre\u0161ke i neuobi\u010dajene aktivnosti.<\/p>\n