Sulmet e aplikacioneve që përdorin ImageMagick me konfigurimin e paracaktuar

Qendra Koordinuese CERT (grupi kompjuterik i reagimit ndaj situatave emergjente) publikoi një paralajmërim për identifikimin e dobësive që prekin aplikacionet dhe faqet e internetit që përdorin bibliotekën ImageMagick në konfigurimin e saj të paracaktuar për përpunimin ose transformimin e imazheve. Shfrytëzimi i suksesshëm lejon një sulmues të lexojë dhe shkruajë skedarë, në përputhje me të drejtën e aksesit nën të cilën ekzekutohet ImageMagick. Dobësive u është caktuar emri kode ImageTragick2, në përputhje me problemin e identifikuar në vitin 2016.

Në dy muajt e fundit, në ImageMagick janë shuar rreth njëqind dobësi, por problemet për të cilat paralajmëron CERT nuk janë rezultat i gabimeve në kodin e ImageMagick, por të përdorimit të cilësimeve të paracaktuara që lejojnë thirrjen e trajtueseve të jashtëm për formate SVG dhe PostScript.
Trajtuesi në ImageMagick zgjidhet në varësi të përmbajtjes dhe jo të zgjerimit të skedarit, prandaj, nëse aplikacioni filtrojnë ngarkesat në nivelin e zgjerimeve, një sulmues mund të dërgojë të dhëna në formate SVG ose PostScript, për shembull, nën petkun e skedarëve me zgjerimin JPEG ose PNG.

Mundësia e shfrytëzimit të dobësisë është konfirmuar në aplikacione të bazuara në Ruby on Rails dhe WordPress, por gjithashtu nuk përjashtohet në projekte të tjera që përdorin ImageMagick për konvertimin e imazheve, prerje dhe krijimin e miniatyrave, të tilla si MediaWiki, ownCloud Classic dhe Redmine. Problemi gjithashtu përfshin mjetet AI që thërrasin ImageMagick gjatë ekzekutimit të detyrave që lidhen me përpunimin e imazheve.

Jepen dy skenarë sulmi:

• Thirrja e trajtuesit të përmbajtjes në gjuhën MSL (Gjuha e Shkrimit të Magjisë) përmes dërgimit të një imazhi SVG të krijuar në mënyrë të veçantë, i cili element përmban një lidhje «xlink:href» në një burim me protokollin «MSL:». ImageMagick e interpreton përmbajtjen e këtij burimi si një skript në gjuhën MSL, duke pasur parasysh se në skriptet MSL lejohet të bëhen operacione të leximit dhe shkruajtjes së skedarëve. Përveç MSL, një trik i ngjashëm me SVG mund të përdoret edhe për përpunimin e llojeve të tjera të rrezikshme të përmbajtjes.
• Thirrja e interpreterit Ghostscript për të procesuar përmbajtjen në formatin PostScript. Ghostscript aktivizohet me flamurin "-dSAFER", i cili nuk kufizon aksesin në katalogun /tmp, duke lejuar që një sulmues të lexojë ose modifikojë skedarët në këtë katalog (p.sh., aplikacionet mund të ruajnë përkohësisht të dhënat e sesioneve dhe skedarët e ngarkuar në /tmp). Në Ghostscript gjithashtu fillojnë të gjejnë rregullisht dobësi që lejojnë plotësisht anashkalimin e kufizimit "-dSAFER" (dobësia e fundit e zbuluar u publikua më 10 nëntor).

Për të bllokuar dobësitë, azhurnimi i ImageMagick nuk është i mjaftueshëm, por kërkohet ndryshimi i cilësimeve në skedarin /etc/ImageMagick/policy.xml, ku është e nevojshme të lihet vetëm mbështetje për formatet dhe operacionet më të domosdoshme ose të paktën të ndalohet thirrja e përpunuesve të jashtëm për formatet MSL, MVG, PS, EPS dhe PDF. Për më tepër, rekomandohet që kodi për konvertimin e imazheve të jashtme të izolohet në një enë të veçantë, të kontrollohen skedarët jo vetëm sipas zgjerimit, por edhe sipas përmbajtjes, dhe të konfigurohet monitorimi i logëve të ImageMagick për dështime dhe aktivitet të pazakontë.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Burimi: opennet.ru