{"id":184253,"date":"2026-11-13T17:41:21","date_gmt":"2026-11-13T15:41:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-na-prilozheniya-ispolzuyushhie-imagemagick-v-konfiguraczii-po-umolchaniyu"},"modified":"2026-11-13T17:41:42","modified_gmt":"2026-11-13T15:41:42","slug":"attacks-on-applications-using-imagemagick-with-default-settings","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/attacks-on-applications-using-imagemagick-with-default-settings","title":{"rendered":"Ataques a aplica\u00e7\u00f5es que utilizam ImageMagick na configura\u00e7\u00e3o padr\u00e3o","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
O Centro de Coordena\u00e7\u00e3o CERT (grupo de resposta a emerg\u00eancias computacionais) publicou um alerta sobre a descoberta de vulnerabilidades que afetam aplicativos e sites que usam a biblioteca ImageMagick na configura\u00e7\u00e3o padr\u00e3o para processamento ou convers\u00e3o de imagens. A explora\u00e7\u00e3o bem-sucedida permite que um atacante leia e escreva arquivos, de acordo com os direitos de acesso sob os quais o ImageMagick est\u00e1 sendo executado. As vulnerabilidades foram nomeadas de c\u00f3digo ImageTragick2, em analogia com o problema identificado em 2016. <\/p>\n
Nos \u00faltimos dois meses, cerca de cem vulnerabilidades foram corrigidas no ImageMagick, mas os problemas que o CERT alerta n\u00e3o s\u00e3o causados por erros no c\u00f3digo do ImageMagick, mas sim pela utiliza\u00e7\u00e3o de configura\u00e7\u00f5es padr\u00e3o que permitem chamar manipuladores externos para os formatos SVG e PostScript. \nO manipulador no ImageMagick \u00e9 escolhido com base no conte\u00fado, e n\u00e3o na extens\u00e3o do arquivo, portanto, se o aplicativo filtra uploads com base nas extens\u00f5es, um atacante pode enviar dados nos formatos SVG ou PostScript, por exemplo, disfar\u00e7ados como arquivos com extens\u00e3o JPEG ou PNG. <\/p>\n
A possibilidade de explora\u00e7\u00e3o da vulnerabilidade foi confirmada em aplicativos baseados em Ruby on Rails e WordPress, mas tamb\u00e9m n\u00e3o se exclui outros projetos que utilizam o ImageMagick para convers\u00e3o de imagens, recortes e cria\u00e7\u00e3o de miniaturas, como MediaWiki, ownCloud Classic e Redmine. O problema tamb\u00e9m se estende a ferramentas de IA que chamam o ImageMagick ao executar tarefas relacionadas ao processamento de imagens.<\/p>\n
Dois cen\u00e1rios de ataque s\u00e3o apresentados:<\/p>\n
\n
Chamada de um manipulador de conte\u00fado na linguagem MSL (Magick Scripting Language) atrav\u00e9s da transmiss\u00e3o de uma imagem SVG formatada, na qual o elemento cont\u00e9m um link «xlink:href» para um recurso com o protocolo «MSL:». O ImageMagick interpreta o conte\u00fado deste recurso como um script na linguagem MSL, sendo que os scripts MSL permitem opera\u00e7\u00f5es de leitura e grava\u00e7\u00e3o de arquivos. Al\u00e9m do MSL, um truque similar com SVG pode ser usado para processar outros tipos de conte\u00fado potencialmente perigosos.\n
Chamada do interpretador Ghostscript para processar conte\u00fado no formato PostScript. O Ghostscript \u00e9 iniciado com a op\u00e7\u00e3o «-dSAFER», que n\u00e3o restringe o acesso ao diret\u00f3rio \/tmp, permitindo que um atacante leia ou modifique arquivos nesse diret\u00f3rio (por exemplo, aplicativos podem armazenar temporariamente dados de sess\u00f5es e arquivos carregados em \/tmp). No Ghostscript, vulnerabilidades tamb\u00e9m s\u00e3o frequentemente encontradas, permitindo contornar completamente a restri\u00e7\u00e3o «-dSAFER» (a \u00faltima vulnerabilidade foi divulgada em 10 de novembro).\n<\/ul>\n
A atualiza\u00e7\u00e3o do ImageMagick n\u00e3o \u00e9 suficiente para bloquear vulnerabilidades, sendo necess\u00e1ria a altera\u00e7\u00e3o das configura\u00e7\u00f5es no arquivo \/etc\/ImageMagick\/policy.xml, onde deve-se manter apenas o suporte para os formatos e opera\u00e7\u00f5es mais necess\u00e1rios ou, no m\u00ednimo, proibir a chamada de manipuladores externos para os formatos MSL, MVG, PS, EPS e PDF. Al\u00e9m disso, recomenda-se isolar o c\u00f3digo para convers\u00e3o de imagens de terceiros em um cont\u00eainer separado, verificar arquivos n\u00e3o apenas pela extens\u00e3o, mas tamb\u00e9m pelo conte\u00fado, e configurar a monitora\u00e7\u00e3o dos logs do ImageMagick para falhas e atividades incomuns.<\/p>\n