Napadi na aplikacije, ki uporabljajo ImageMagick v privzetih nastavitvah

Koordinacijski center CERT (skupina za odzivanje na računalniške izredne razmere) je objavil opozorilo o odkritju ranljivosti, ki vplivajo na aplikacije in spletne strani, ki uporabljajo knjižnico ImageMagick v privzetih nastavitvah za obdelavo ali pretvorbo slik. Uspešna izkoriščanja omogoča napadalcu branje in pisanje datotek glede na pravice dostopa, pod katerimi se izvaja ImageMagick. Ranljivostim je dodeljeno kodno ime ImageTragick2, po vzoru težave, ugotovljene leta 2016.

V zadnjih dveh mesecih je bilo v ImageMagick odpravljeno okoli sto ranljivosti, vendar težave, o katerih opozarja CERT, niso posledica napak v kodi ImageMagick, ampak so rezultat privzetih nastavitev, ki omogočajo klic zunanjih obdelovalnikov za formate SVG in PostScript.
Obdelovalnik v ImageMagick se izbira glede na vsebino, ne glede na razširitev datoteke, zato lahko, če aplikacija filtrira naložbe na ravni razširitev, napadalec posreduje podatke v formatih SVG ali PostScript, na primer z zavajanjem, da so datoteke z razširitvijo JPEG ali PNG.

Možnost izkoriščanja ranljivosti je potrjena v aplikacijah, ki temeljijo na Ruby on Rails in WordPress, vendar ni izključena niti v drugih projektih, ki uporabljajo ImageMagick za konverzijo slik, obrezovanje in ustvarjanje miniatur, kot so MediaWiki, ownCloud Classic in Redmine. Problem zajema tudi AI orodja, ki kličejo ImageMagick pri izvajanju nalog, povezanih z obdelavo slik.

Navedena sta dva scenarija napada:

• Klic obdelovalnika vsebine v jeziku MSL (Magick Scripting Language) preko posredovanja posebej oblikovane SVG slike, kjer element vsebuje povezavo „xlink:href“ na vir s protokolom „MSL:“. ImageMagick interpretira vsebino tega vira kot skripto v jeziku MSL, pri čemer so v skriptah MSL dovoljene operacije pisanja in branja datotek. Poleg MSL je podoben trik s SVG mogoče uporabiti tudi za obdelavo drugih nevarnih vrst vsebin.
• Klic interpretera Ghostscript za obdelavo vsebine v formatu PostScript. Ghostscript se zažene z zastavico „-dSAFER“, ki ne omejuje dostopa do mape /tmp, kar omogoča napadalcu, da bere ali spreminja datoteke v tej mapi (na primer, aplikacije lahko začasno shranjujejo podatke seanse in naložene datoteke v /tmp). V Ghostscriptu redno odkrijejo tudi ranljivosti, ki omogočajo popolno obhod nastavitev „-dSAFER“ (zadnja takšna ranljivost je bila razkrita 10. novembra).

Za blokado ranljivosti ni dovolj posodobiti ImageMagick, temveč je potrebno spremeniti nastavitve v datoteki /etc/ImageMagick/policy.xml, kjer je treba ohraniti le podporo za najnujnejše formate in operacije ali vsaj prepovedati klic zunanjih obdelovalnikov za formate MSL, MVG, PS, EPS in PDF. Poleg tega je priporočljivo izolirati kodo za pretvorbo zunanjih slik v ločenem vsebniku, preverjati datoteke ne le po končnici, temveč tudi po vsebini ter nastaviti spremljanje logov ImageMagick na morebitne napake in nenavadne aktivnosti.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Izvor: opennet.ru