{"id":184253,"date":"2026-11-13T17:41:21","date_gmt":"2026-11-13T15:41:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-na-prilozheniya-ispolzuyushhie-imagemagick-v-konfiguraczii-po-umolchaniyu"},"modified":"2026-11-13T17:41:42","modified_gmt":"2026-11-13T15:41:42","slug":"attacks-on-applications-using-imagemagick-with-default-settings","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/attacks-on-applications-using-imagemagick-with-default-settings","title":{"rendered":"T\u00e1mad\u00e1sok az ImageMagick alkalmaz\u00e1sain, amelyeket az alap\u00e9rtelmezett konfigur\u00e1ci\u00f3val haszn\u00e1lnak","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A CERT koordin\u00e1ci\u00f3s k\u00f6zpont (sz\u00e1m\u00edt\u00f3g\u00e9pes v\u00e9szhelyzeti reag\u00e1l\u00f3 csoport) figyelmeztet\u00e9st publik\u00e1lt, hogy sebezhet\u0151s\u00e9geket fedeztek fel olyan alkalmaz\u00e1sokban \u00e9s weboldalakon, amelyek az ImageMagick k\u00f6nyvt\u00e1rat haszn\u00e1lj\u00e1k alap\u00e9rtelmezett konfigur\u00e1ci\u00f3val k\u00e9pek feldolgoz\u00e1s\u00e1hoz vagy \u00e1talak\u00edt\u00e1s\u00e1hoz. A sikeres kihaszn\u00e1l\u00e1s lehet\u0151v\u00e9 teszi a t\u00e1mad\u00f3 sz\u00e1m\u00e1ra, hogy olvasson \u00e9s \u00edrjon f\u00e1jlokat az ImageMagick \u00e1ltal v\u00e9grehajt\u00e1sra haszn\u00e1lt hozz\u00e1f\u00e9r\u00e9si jogok m\u00e9rt\u00e9k\u00e9ig. A sebezhet\u0151s\u00e9gek k\u00f3dneve ImageTragick2, hasonl\u00f3an a 2016-ban felfedezett probl\u00e9m\u00e1hoz. <\/p>\n
Az ut\u00f3bbi k\u00e9t h\u00f3napban k\u00f6r\u00fclbel\u00fcl sz\u00e1z sebezhet\u0151s\u00e9get jav\u00edtottak ki az ImageMagickban, de a CERT \u00e1ltal megjel\u00f6lt probl\u00e9m\u00e1k nem az ImageMagick k\u00f3dj\u00e1ban l\u00e9v\u0151 hib\u00e1k miatt k\u00f6vetkeznek be, hanem a szok\u00e1sos be\u00e1ll\u00edt\u00e1sok alkalmaz\u00e1sa miatt, amelyek lehet\u0151v\u00e9 teszik k\u00fcls\u0151 feldolgoz\u00f3k h\u00edv\u00e1s\u00e1t SVG \u00e9s PostScript form\u00e1tumokhoz. \nAz ImageMagickban a feldolgoz\u00f3 a tartalom alapj\u00e1n ker\u00fcl kiv\u00e1laszt\u00e1sra, nem pedig a f\u00e1jl kiterjeszt\u00e9se alapj\u00e1n, \u00edgy ha az alkalmaz\u00e1s a kiterjeszt\u00e9sek szintj\u00e9n sz\u0171ri a felt\u00f6lt\u00e9seket, a t\u00e1mad\u00f3 adatokat k\u00fcldhet SVG vagy PostScript form\u00e1tumokban, p\u00e9ld\u00e1ul JPEG vagy PNG kiterjeszt\u00e9ssel. <\/p>\n
A sebezhet\u0151s\u00e9g kihaszn\u00e1l\u00e1s\u00e1nak lehet\u0151s\u00e9ge meger\u0151s\u00edt\u00e9st nyert Ruby on Rails \u00e9s WordPress alap\u00fa alkalmaz\u00e1sokban, de nem kiz\u00e1rt m\u00e1s projektekben sem, amelyek az ImageMagickot haszn\u00e1lj\u00e1k k\u00e9pek konvert\u00e1l\u00e1s\u00e1ra, v\u00e1g\u00e1s\u00e1ra \u00e9s miniat\u0171r\u00f6k l\u00e9trehoz\u00e1s\u00e1ra, mint p\u00e9ld\u00e1ul a MediaWiki, ownCloud Classic \u00e9s Redmine. A probl\u00e9ma AI-eszk\u00f6z\u00f6ket is \u00e9rint, amelyek az ImageMagickot h\u00edvj\u00e1k meg k\u00e9pfeldolgoz\u00e1ssal kapcsolatos feladatok v\u00e9grehajt\u00e1sakor.<\/p>\n
A feldolgoz\u00f3 megh\u00edv\u00e1sa MSL (Magick Scripting Language) nyelven egy speci\u00e1lisan form\u00e1zott SVG-k\u00e9p \u00e1tad\u00e1s\u00e1val, amelyben az elem az 'xlink:href' hivatkoz\u00e1st tartalmazza egy MSL protokoll\u00fa er\u0151forr\u00e1sra. Az ImageMagick ezt az er\u0151forr\u00e1st MSL nyelv\u0171 szkriptk\u00e9nt \u00e9rtelmezi, amely lehet\u0151v\u00e9 teszi a f\u00e1jlok olvas\u00e1s\u00e1t \u00e9s \u00edr\u00e1s\u00e1t a MSL szkriptekben. Az MSL-en k\u00edv\u00fcl hasonl\u00f3 tr\u00fckk\u00f6z\u00e9s SVG-vel m\u00e1s vesz\u00e9lyes tartalom feldolgoz\u00e1s\u00e1ra is alkalmazhat\u00f3.\n
A Ghostscript \u00e9rtelmez\u0151j\u00e9nek megh\u00edv\u00e1sa PostScript form\u00e1tum\u00fa tartalom feldolgoz\u00e1s\u00e1hoz. A Ghostscript '-dSAFER' z\u00e1szl\u00f3val ind\u00edtva nem korl\u00e1tozza a \/tmp mappa hozz\u00e1f\u00e9r\u00e9s\u00e9t, ami lehet\u0151v\u00e9 teszi a t\u00e1mad\u00f3 sz\u00e1m\u00e1ra, hogy f\u00e1jlokat olvasson vagy m\u00f3dos\u00edtson ebben a mapp\u00e1ban (p\u00e9ld\u00e1ul alkalmaz\u00e1sok ideiglenesen t\u00e1rolhatj\u00e1k a \/tmp mapp\u00e1ban a munkamenet adatait \u00e9s a felt\u00f6lt\u00f6tt f\u00e1jlokat). A Ghostscript-ban rendszeresen tal\u00e1lnak olyan sebezhet\u0151s\u00e9geket, amelyek lehet\u0151v\u00e9 teszik a '-dSAFER' korl\u00e1toz\u00e1s teljes megker\u00fcl\u00e9s\u00e9t (a legutols\u00f3 lass\u00fa sebezhet\u0151s\u00e9g november 10-\u00e9n v\u00e1lt nyilv\u00e1noss\u00e1).\n<\/ul>\n
It is insufficient to only update ImageMagick to block vulnerabilities; the settings in the file \/etc\/ImageMagick\/policy.xml must be modified to retain support only for the most necessary formats and operations, or at least to prohibit the invocation of external handlers for MSL, MVG, PS, EPS, and PDF formats. Additionally, it is recommended to isolate code for converting third-party images in a separate container, check files not only by extension but also by content, and set up monitoring of ImageMagick logs for failures and unusual activity.<\/p>\n