{"id":184253,"date":"2026-11-13T17:41:21","date_gmt":"2026-11-13T15:41:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-na-prilozheniya-ispolzuyushhie-imagemagick-v-konfiguraczii-po-umolchaniyu"},"modified":"2026-11-13T17:41:42","modified_gmt":"2026-11-13T15:41:42","slug":"attacks-on-applications-using-imagemagick-with-default-settings","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/attacks-on-applications-using-imagemagick-with-default-settings","title":{"rendered":"Aanvallen op toepassingen die ImageMagick in de standaardconfiguratie gebruiken","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Het Co\u00f6rdinatiecentrum CERT (Computer Emergency Response Team) heeft een waarschuwing gepubliceerd over kwetsbaarheden die van invloed zijn op applicaties en websites die de ImageMagick-bibliotheek gebruiken met standaardinstellingen voor het verwerken of converteren van afbeeldingen. Succesvolle exploitatie stelt een aanvaller in staat om bestanden te lezen en te schrijven, afhankelijk van de toegangsrechten waaronder ImageMagick draait. De kwetsbaarheden zijn gecodeerd als ImageTragick2, vergelijkbaar met het probleem dat in 2016 werd ontdekt. <\/p>\n
In de afgelopen twee maanden zijn er ongeveer honderd kwetsbaarheden in ImageMagick verholpen, maar de problemen waar CERT voor waarschuwt, zijn niet het gevolg van fouten in de code van ImageMagick, maar van het gebruik van standaardinstellingen die het aanroepen van externe verwerkers voor SVG- en PostScript-indelingen mogelijk maken. \nDe verwerker in ImageMagick wordt gekozen op basis van de inhoud en niet op basis van de bestandsextensie. Dit betekent dat als de applicatie uploads filtert op extensieniveau, een aanvaller gegevens kan doorgeven in de SVG- of PostScript-indelingen, bijvoorbeeld als bestanden met de extensie JPEG of PNG. <\/p>\n
De mogelijkheid om de kwetsbaarheid te exploiteren is bevestigd in applicaties op basis van Ruby on Rails en WordPress, maar sluit ook andere projecten niet uit die ImageMagick gebruiken voor afbeeldingsconversie, bijsnijden en het maken van miniaturen, zoals MediaWiki, ownCloud Classic en Redmine. Het probleem betreft ook AI-tools die ImageMagick aanroepen bij het uitvoeren van taken die verband houden met afbeeldingsverwerking.<\/p>\n
Er worden twee aanvalscenario's genoemd:<\/p>\n
\n
Het aanroepen van een inhoudsverwerker in de MSL-taal (Magick Scripting Language) door een speciaal opgemaakt SVG-beeld te verzenden, waarin het element een link bevat naar de bron met het protocol 'MSL:'. ImageMagick interpreteert de inhoud van deze bron als een script in MSL-taal, waarbij MSL-scripts lees- en schrijfoperaties van bestanden toestaan. Naast MSL kan hetzelfde trucje met SVG ook worden gebruikt voor de verwerking van andere gevaarlijke soorten inhoud.\n
Het aanroepen van de Ghostscript-interpreter voor de verwerking van inhoud in PostScript-formaat. Ghostscript wordt gestart met de vlag '-dSAFER', die de toegang tot de map \/tmp niet beperkt, waardoor een aanvaller bestanden in deze map kan lezen of wijzigen (bijvoorbeeld kunnen applicaties tijdelijk gegevens van sessies en ge\u00fcploade bestanden in \/tmp opslaan). In Ghostscript worden regelmatig kwetsbaarheden aangetroffen die het mogelijk maken om de beperking '-dSAFER' volledig te omzeilen (de laatste kwetsbaarheid werd onthuld op 10 november).\n<\/ul>\n
Het is niet voldoende om alleen ImageMagick bij te werken om kwetsbaarheden te blokkeren; er zijn aanpassingen nodig in het bestand \/etc\/ImageMagick\/policy.xml, waarin alleen ondersteuning voor de meest noodzakelijke formaten en bewerkingen moet blijven, of in ieder geval externe afhandelaars voor de formaten MSL, MVG, PS, EPS en PDF moeten worden verboden. Daarnaast wordt aanbevolen om de code voor de conversie van externe afbeeldingen in een afzonderlijke container te isoleren, bestanden niet alleen op extensie maar ook op inhoud te controleren, en de ImageMagick-logs te monitoren op foutmeldingen en ongebruikelijke activiteit.<\/p>\n