Angrep på applikasjoner som bruker ImageMagick med standardkonfigurasjon

Koordineringssenteret CERT (datasvarteaksjonsgruppe) har publisert en advarsel om oppdagede sårbarheter som påvirker applikasjoner og nettsteder som bruker ImageMagick-biblioteket med standardkonfigurasjon for behandling eller konvertering av bilder. En vellykket utnyttelse kan tillate en angriper å lese og skrive filer, avhengig av tilgangsrettighetene til ImageMagick. Sårbarhetene er gitt kodenavnet ImageTragick2, i likhet med problemet som ble oppdaget i 2016.

I løpet av de siste to månedene har det blitt rettet rundt hundre sårbarheter i ImageMagick, men problemene som CERT advarer om, skyldes ikke feil i ImageMagick-koden, men bruken av standardinnstillinger som tillater samtaler til eksterne prosessorer for SVG- og PostScript-formater.
Behandleren i ImageMagick velges basert på innholdet, ikke filtypen, så hvis en applikasjon filtrerer opplastinger på filtypenivå, kan en angriper sende data i SVG- eller PostScript-formater, for eksempel i form av filer med JPEG- eller PNG-utvidelse.

Muligheten for å utnytte sårbarheten er bekreftet i applikasjoner basert på Ruby on Rails og WordPress, men den kan også forekomme i andre prosjekter som bruker ImageMagick for å konvertere bilder, beskjæring og oppretting av miniaturer, slik som MediaWiki, ownCloud Classic og Redmine. Problemet berører også AI-verktøy som kaller på ImageMagick når de utfører oppgaver relatert til bildebehandling.

To angrepsscenarier er beskrevet:

• Kall av innholdsbehandleren på MSL (Magick Scripting Language) gjennom sending av en spesialdesignet SVG-bilde, der elementet inneholder en lenke 'xlink:href' til en ressurs med protokollen 'MSL:'. ImageMagick tolker innholdet i denne ressursen som et skript i MSL-språket, der skript i MSL tillater både skrive- og leseoperasjoner på filer. I tillegg til MSL kan en lignende triks med SVG også brukes til å håndtere andre farlige typer innhold.
• Kall av Ghostscript-tolken for å behandle innhold i PostScript-format. Ghostscript startes med flagget «-dSAFER», som ikke begrenser tilgangen til katalogen /tmp, noe som gjør det mulig for en angriper å lese eller endre filer i denne katalogen (for eksempel kan applikasjoner midlertidig lagre sesjonsdata og opplastede filer i /tmp). Det oppdages også jevnlig sårbarheter i Ghostscript som lar brukere omgå begrensningen «-dSAFER» (den siste sårbarheten ble avslørt 10. november).

Det er ikke tilstrekkelig å oppdatere ImageMagick for å blokkere sårbarheter; det kreves endringer i innstillingene i filen /etc/ImageMagick/policy.xml, hvor man må beholde støtte kun for de mest nødvendige formatene og operasjonene, eller minst forby kallet til eksterne behandlere for formatene MSL, MVG, PS, EPS og PDF. I tillegg anbefales det å isolere koden for å konvertere eksterne bilder i en egen beholder, kontrollere filer ikke bare etter filtype, men også etter innhold, og sette opp overvåking av ImageMagick-loggene for feil og uvanlig aktivitet.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Kilde: opennet.ru