Aanvallen op toepassingen die ImageMagick in de standaardconfiguratie gebruiken

Het Coördinatiecentrum CERT (Computer Emergency Response Team) heeft een waarschuwing gepubliceerd over kwetsbaarheden die van invloed zijn op applicaties en websites die de ImageMagick-bibliotheek gebruiken met standaardinstellingen voor het verwerken of converteren van afbeeldingen. Succesvolle exploitatie stelt een aanvaller in staat om bestanden te lezen en te schrijven, afhankelijk van de toegangsrechten waaronder ImageMagick draait. De kwetsbaarheden zijn gecodeerd als ImageTragick2, vergelijkbaar met het probleem dat in 2016 werd ontdekt.

In de afgelopen twee maanden zijn er ongeveer honderd kwetsbaarheden in ImageMagick verholpen, maar de problemen waar CERT voor waarschuwt, zijn niet het gevolg van fouten in de code van ImageMagick, maar van het gebruik van standaardinstellingen die het aanroepen van externe verwerkers voor SVG- en PostScript-indelingen mogelijk maken.
De verwerker in ImageMagick wordt gekozen op basis van de inhoud en niet op basis van de bestandsextensie. Dit betekent dat als de applicatie uploads filtert op extensieniveau, een aanvaller gegevens kan doorgeven in de SVG- of PostScript-indelingen, bijvoorbeeld als bestanden met de extensie JPEG of PNG.

De mogelijkheid om de kwetsbaarheid te exploiteren is bevestigd in applicaties op basis van Ruby on Rails en WordPress, maar sluit ook andere projecten niet uit die ImageMagick gebruiken voor afbeeldingsconversie, bijsnijden en het maken van miniaturen, zoals MediaWiki, ownCloud Classic en Redmine. Het probleem betreft ook AI-tools die ImageMagick aanroepen bij het uitvoeren van taken die verband houden met afbeeldingsverwerking.

Er worden twee aanvalscenario's genoemd:

• Het aanroepen van de inhoudsverwerker in de MSL (Magick Scripting Language) door een speciaal opgemaakt SVG-afbeelding door te geven, waarin het <image>-element een link bevat 'xlink:href' naar een bron met het protocol 'MSL:'. ImageMagick interpreteert de inhoud van deze bron als een script in de MSL-taal, waarbij in MSL-scripts lees- en schrijfoperaties op bestanden zijn toegestaan. Naast MSL kan een soortgelijke truc met SVG ook worden gebruikt voor de verwerking van andere gevaarlijke soorten inhoud.
• Het aanroepen van de Ghostscript-interpreter om inhoud in PostScript-formaat te verwerken. Ghostscript wordt gestart met de vlag "-dSAFER", die de toegang tot de map /tmp niet beperkt, waardoor een aanvaller bestanden in deze map kan lezen of wijzigen (bijvoorbeeld kunnen applicaties tijdelijke gegevens van sessies en geüploade bestanden in /tmp opslaan). Ghostscript vertoont ook regelmatig kwetsbaarheden waarmee de "-dSAFER"-beperking volledig kan worden omzeild (de laatste kwetsbaarheid werd onthuld op 10 november).

Het is niet voldoende om alleen ImageMagick bij te werken om kwetsbaarheden te blokkeren; er zijn aanpassingen nodig in het bestand /etc/ImageMagick/policy.xml, waarin alleen ondersteuning voor de meest noodzakelijke formaten en bewerkingen moet blijven, of in ieder geval externe afhandelaars voor de formaten MSL, MVG, PS, EPS en PDF moeten worden verboden. Daarnaast wordt aanbevolen om de code voor de conversie van externe afbeeldingen in een afzonderlijke container te isoleren, bestanden niet alleen op extensie maar ook op inhoud te controleren, en de ImageMagick-logs te monitoren op foutmeldingen en ongebruikelijke activiteit.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Bron: opennet.ru