{"id":184253,"date":"2026-11-13T17:41:21","date_gmt":"2026-11-13T15:41:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-na-prilozheniya-ispolzuyushhie-imagemagick-v-konfiguraczii-po-umolchaniyu"},"modified":"2026-11-13T17:41:42","modified_gmt":"2026-11-13T15:41:42","slug":"attacks-on-applications-using-imagemagick-with-default-settings","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/news\/attacks-on-applications-using-imagemagick-with-default-settings","title":{"rendered":"Angrep p\u00e5 applikasjoner som bruker ImageMagick med standardkonfigurasjon","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Koordineringssenteret CERT (datasvarteaksjonsgruppe) har publisert en advarsel om oppdagede s\u00e5rbarheter som p\u00e5virker applikasjoner og nettsteder som bruker ImageMagick-biblioteket med standardkonfigurasjon for behandling eller konvertering av bilder. En vellykket utnyttelse kan tillate en angriper \u00e5 lese og skrive filer, avhengig av tilgangsrettighetene til ImageMagick. S\u00e5rbarhetene er gitt kodenavnet ImageTragick2, i likhet med problemet som ble oppdaget i 2016. <\/p>\n
I l\u00f8pet av de siste to m\u00e5nedene har det blitt rettet rundt hundre s\u00e5rbarheter i ImageMagick, men problemene som CERT advarer om, skyldes ikke feil i ImageMagick-koden, men bruken av standardinnstillinger som tillater samtaler til eksterne prosessorer for SVG- og PostScript-formater. \nBehandleren i ImageMagick velges basert p\u00e5 innholdet, ikke filtypen, s\u00e5 hvis en applikasjon filtrerer opplastinger p\u00e5 filtypeniv\u00e5, kan en angriper sende data i SVG- eller PostScript-formater, for eksempel i form av filer med JPEG- eller PNG-utvidelse. <\/p>\n
Muligheten for \u00e5 utnytte s\u00e5rbarheten er bekreftet i applikasjoner basert p\u00e5 Ruby on Rails og WordPress, men den kan ogs\u00e5 forekomme i andre prosjekter som bruker ImageMagick for \u00e5 konvertere bilder, beskj\u00e6ring og oppretting av miniaturer, slik som MediaWiki, ownCloud Classic og Redmine. Problemet ber\u00f8rer ogs\u00e5 AI-verkt\u00f8y som kaller p\u00e5 ImageMagick n\u00e5r de utf\u00f8rer oppgaver relatert til bildebehandling.<\/p>\n
To angrepsscenarier er beskrevet:<\/p>\n
\n
Kall av innholdsh\u00e5ndtereren p\u00e5 MSL (Magick Scripting Language) via overf\u00f8ring av et spesialformatert SVG-bilde, der elementet inneholder en lenke med 'xlink:href' til ressursen med protokollen 'MSL:'. ImageMagick tolker innholdet i denne ressursen som et script i MSL, der det i MSL-scripts tillates b\u00e5de skrive- og leseoperasjoner. I tillegg kan et lignende triks med SVG brukes for \u00e5 h\u00e5ndtere andre farlige typer innhold.\n
Kall til Ghostscript-interpreteren for \u00e5 h\u00e5ndtere innhold i PostScript-format. Ghostscript kj\u00f8res med flagget '-dSAFER', som ikke begrenser tilgangen til katalogen \/tmp, noe som gj\u00f8r det mulig for en angriper \u00e5 lese eller endre filer i denne katalogen (for eksempel kan applikasjoner midlertidig lagre sesjonsdata og opplastede filer i \/tmp). Det oppdages ogs\u00e5 jevnlig s\u00e5rbarheter i Ghostscript som tillater fullstendig \u00e5 omg\u00e5 '-dSAFER'-begrensningen (den nyeste s\u00e5rbarheten ble avdekket 10. november).\n<\/ul>\n
Det er ikke tilstrekkelig \u00e5 oppdatere ImageMagick for \u00e5 blokkere s\u00e5rbarheter; det kreves endringer i innstillingene i filen \/etc\/ImageMagick\/policy.xml, hvor man m\u00e5 beholde st\u00f8tte kun for de mest n\u00f8dvendige formatene og operasjonene, eller minst forby kallet til eksterne behandlere for formatene MSL, MVG, PS, EPS og PDF. I tillegg anbefales det \u00e5 isolere koden for \u00e5 konvertere eksterne bilder i en egen beholder, kontrollere filer ikke bare etter filtype, men ogs\u00e5 etter innhold, og sette opp overv\u00e5king av ImageMagick-loggene for feil og uvanlig aktivitet.<\/p>\n