Uzbrukumi uz lietojumprogrammām, kas izmanto ImageMagick noklusējuma konfigurācijā

Koordinācijas centrs CERT (datu reaģēšanas grupa ārkārtas situācijām) publicējis brīdinājumu par atklātajām ievainojamībām, kas ietekmē lietojumprogrammas un vietnes, kas izmanto ImageMagick bibliotēku noklusējuma konfigurācijā attēlu apstrādei vai pārveidošanai. Veiksmīga ekspluatācija ļauj uzbrucējam lasīt un rakstīt failus atbilstoši pieejas tiesībām, ar kurām darbojas ImageMagick. Ievainojumam piešķirts kods ImageTragick2, līdzīgi kā problēmai, kas tika atklāta 2016. gadā.

Pēdējo divu mēnešu laikā ImageMagick ir novērsts apmēram simts ievainojamību, bet CERT brīdinājumi ir saistīti nevis ar ImageMagick koda kļūdām, bet ar noklusējuma iestatījumu izmantošanu, kas ļauj izsaukt ārējus apstrādātājus SVG un PostScript formātiem.
Apstrādātājs ImageMagick tiek izvēlēts atkarībā no satura, nevis faila paplašinājuma, tādēļ, ja lietojumprogramma filtrē augšupielādes pēc paplašinājumiem, uzbrucējs var nodot datus SVG vai PostScript formā, piemēram, uzdodoties par JPEG vai PNG failiem.

Ievainojamības izmantošanas iespēja apstiprināta Ruby on Rails un WordPress bāzētās lietojumprogrammās, bet nav izslēgti arī citi projekti, kas izmanto ImageMagick attēlu konvertēšanai, sagriešanai un miniatuāru izveidei, piemēram, MediaWiki, ownCloud Classic un Redmine. Problēma attiecas arī uz AI rīkiem, kas izsauc ImageMagick, veicot attēlu apstrādes uzdevumus.

Tiek piedāvāti divi uzbrukuma scenāriji:

• Satura apstrādātāja izsaukšana ar MSL (Magick Scripting Language) valodu, nododot speciāli sagatavotu SVG attēlu, kurā elements satur saiti «xlink:href» uz resursu ar protokolu «MSL:». ImageMagick interpretē šī resursa saturu kā MSL skriptu, ņemot vērā, ka MSL skriptu atļautas operācijas ietver failu rakstīšanu un lasīšanu. Papildus MSL līdzīgs triks ar SVG var tikt izmantots arī citu bīstamu satura veidu apstrādei.
• Ghostscript interpretatora izsaukums, lai apstrādātu saturu PostScript formātā. Ghostscript tiek palaists ar karogu „-dSAFER”, kas neierobežo piekļuvi katalogam /tmp, tādējādi ļaujot uzbrucējam lasīt vai mainīt failus šajā katalogā (piemēram, lietojumprogrammas var pagaidu glabāt datus par sesijām un augšupielādētus failus /tmp). Ghostscript regulāri tiek atklātas arī ievainojamības, kas ļauj pilnībā apiet ierobežojumu „-dSAFER” (pēdējā šāda ievainojamība tika atklāta 10. novembrī).

Lai bloķētu ievainojamības, nav pietiekami atjaunināt ImageMagick, bet nepieciešams mainīt iestatījumus failā /etc/ImageMagick/policy.xml, kurā jāatstāj tikai nepieciešamo formātu un operāciju atbalsts vai vismaz jāaizliedz ārējo apstrādātāju izsaukumi MSL, MVG, PS, EPS un PDF formātiem. Turklāt ieteicams izolēt kodu, lai pārvērstu trešo pušu attēlus atsevišķā konteinerā, pārbaudīt failus ne tikai pēc paplašinājuma, bet arī pēc satura, un iestatīt ImageMagick žurnālu uzraudzību neparastu aktivitāšu dēļ.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Avots: opennet.lv