פגיעות ב-ImageMagick שמובילה לדליפה של תוכן קבצים מקומיים

לחבילת ImageMagick, המשמשת לעתים קרובות מפתחי אתרים להמרת תמונות, יש פגיעות CVE-2022-44268, שעלולה להוביל לדליפה של תוכן הקובץ אם תמונות PNG שהוכנו על ידי תוקף יומרו באמצעות ImageMagick. הפגיעות משפיעה על מערכות המעבדות תמונות חיצוניות ולאחר מכן מאפשרות לטעון את תוצאות ההמרה.

הפגיעות נגרמת מהעובדה שכאשר ImageMagick מעבדת תמונת PNG, היא משתמשת בתוכן של פרמטר "פרופיל" מבלוק המטא נתונים כדי לקבוע את שם קובץ הפרופיל, שנכלל בקובץ המתקבל. לפיכך, עבור התקפה, מספיק להוסיף את הפרמטר "פרופיל" עם נתיב הקובץ הנדרש לתמונת PNG (לדוגמה, "/etc/passwd") ובעיבוד תמונה כזו, למשל, בעת שינוי גודל התמונה , התוכן של הקובץ הנדרש ייכלל בקובץ הפלט. אם תציין "-" במקום שם קובץ, המטפל יתקע בהמתנה לקלט מהזרם הסטנדרטי, שיכול לשמש כדי לגרום למניעת שירות (CVE-2022-44267).

עדיין לא פורסם עדכון לתיקון הפגיעות, אך מפתחי ImageMagick המליצו כפתרון לחסימת הדליפה, ליצור כלל בהגדרות המגביל את הגישה לנתיבי קבצים מסוימים. לדוגמה, כדי למנוע גישה דרך נתיבים מוחלטים ויחסיים, תוכל להוסיף את הדברים הבאים ל-policy.xml:

סקריפט ליצירת תמונות PNG המנצלות את הפגיעות כבר היה זמין לציבור.

מקור: OpenNet.ru