Pakej ImageMagick, yang sering digunakan oleh pembangun web untuk menukar imej, mempunyai kerentanan CVE-2022-44268, yang boleh menyebabkan kebocoran kandungan fail jika imej PNG yang disediakan oleh penyerang ditukar menggunakan ImageMagick. Kerentanan mempengaruhi sistem yang memproses imej luaran dan kemudian membenarkan hasil penukaran dimuatkan.
Kerentanan ini disebabkan oleh fakta bahawa apabila ImageMagick memproses imej PNG, ia menggunakan kandungan parameter "profil" daripada blok metadata untuk menentukan nama fail profil, yang disertakan dalam fail yang dihasilkan. Oleh itu, untuk serangan, cukup untuk menambah parameter "profil" dengan laluan fail yang diperlukan ke imej PNG (contohnya, "/etc/passwd") dan apabila memproses imej sedemikian, sebagai contoh, apabila mengubah saiz imej , kandungan fail yang diperlukan akan dimasukkan ke dalam fail output. Jika anda menentukan "-" dan bukannya nama fail, pengendali akan menggantung menunggu input daripada aliran standard, yang boleh digunakan untuk menyebabkan penafian perkhidmatan (CVE-2022-44267).
Kemas kini untuk membetulkan kerentanan masih belum dikeluarkan, tetapi pembangun ImageMagick mengesyorkan bahawa sebagai penyelesaian untuk menyekat kebocoran, buat peraturan dalam tetapan yang menyekat akses kepada laluan fail tertentu. Sebagai contoh, untuk menolak akses melalui laluan mutlak dan relatif, anda boleh menambah yang berikut pada policy.xml:
Skrip untuk menjana imej PNG yang mengeksploitasi kelemahan telah tersedia secara umum.
Sumber: opennet.ru