ImageMagick-pakken, som ofte brukes av webutviklere til å konvertere bilder, har en sårbarhet CVE-2022-44268, som kan føre til lekkasje av filinnhold dersom PNG-bilder utarbeidet av en angriper konverteres ved hjelp av ImageMagick. Sårbarheten påvirker systemer som behandler eksterne bilder og deretter lar konverteringsresultatene lastes.
Sårbarheten er forårsaket av det faktum at når ImageMagick behandler et PNG-bilde, bruker det innholdet i "profil"-parameteren fra metadatablokken for å bestemme navnet på profilfilen, som er inkludert i den resulterende filen. Derfor, for et angrep, er det nok å legge til "profil" -parameteren med den nødvendige filbanen til PNG-bildet (for eksempel "/etc/passwd") og når du behandler et slikt bilde, for eksempel når du endrer størrelsen på bildet , vil innholdet i den nødvendige filen bli inkludert i utdatafilen . Hvis du angir "-" i stedet for et filnavn, vil behandleren henge og vente på input fra standardstrømmen, som kan brukes til å forårsake tjenestenekt (CVE-2022-44267).
En oppdatering for å fikse sårbarheten er ennå ikke utgitt, men ImageMagick-utviklere anbefalte at som en løsning for å blokkere lekkasjen, oppretter en regel i innstillingene som begrenser tilgangen til visse filbaner. For å nekte tilgang via absolutte og relative baner, kan du for eksempel legge til følgende i policy.xml:
Et skript for å generere PNG-bilder som utnytter sårbarheten har allerede vært offentlig tilgjengelig.
Kilde: opennet.ru