Paket ImageMagick, ki ga spletni razvijalci pogosto uporabljajo za pretvorbo slik, ima ranljivost CVE-2022-44268, ki lahko povzroči uhajanje vsebine datoteke, če se slike PNG, ki jih pripravi napadalec, pretvorijo s pomočjo ImageMagick. Ranljivost vpliva na sisteme, ki obdelujejo zunanje slike in nato omogočajo nalaganje rezultatov pretvorbe.
Ranljivost je posledica dejstva, da ko ImageMagick obdeluje sliko PNG, uporabi vsebino parametra »profile« iz bloka metapodatkov, da določi ime datoteke profila, ki je vključena v nastalo datoteko. Tako je za napad dovolj, da sliki PNG dodate parameter »profil« z zahtevano potjo do datoteke (na primer »/etc/passwd«) in pri obdelavi takšne slike, na primer pri spreminjanju velikosti slike , bo vsebina zahtevane datoteke vključena v izhodno datoteko. Če namesto imena datoteke navedete »-«, bo upravljalnik zastal in čakal na vnos iz standardnega toka, ki se lahko uporabi za povzročitev zavrnitve storitve (CVE-2022-44267).
Posodobitev za odpravo ranljivosti še ni bila izdana, vendar so razvijalci ImageMagick priporočili, da kot rešitev za blokiranje uhajanja ustvarite pravilo v nastavitvah, ki omejuje dostop do določenih poti datotek. Na primer, če želite zavrniti dostop prek absolutne in relativne poti, lahko v policy.xml dodate naslednje:
Skript za generiranje slik PNG, ki izkoriščajo ranljivost, je že javno dostopen.
Vir: opennet.ru