Paketa ImageMagick, e cila përdoret shpesh nga zhvilluesit e uebit për të konvertuar imazhet, ka një cenueshmëri CVE-2022-44268, e cila mund të çojë në rrjedhje të përmbajtjes së skedarit nëse imazhet PNG të përgatitura nga një sulmues konvertohen duke përdorur ImageMagick. Dobësia prek sistemet që përpunojnë imazhe të jashtme dhe më pas lejojnë që rezultatet e konvertimit të ngarkohen.
Dobësia shkaktohet nga fakti se kur ImageMagick përpunon një imazh PNG, ai përdor përmbajtjen e parametrit "profil" nga blloku i meta të dhënave për të përcaktuar emrin e skedarit të profilit, i cili përfshihet në skedarin që rezulton. Kështu, për një sulm, mjafton të shtoni parametrin "profil" me shtegun e kërkuar të skedarit në imazhin PNG (për shembull, "/etc/passwd") dhe kur përpunoni një imazh të tillë, për shembull, kur ndryshoni madhësinë e figurës , përmbajtja e skedarit të kërkuar do të përfshihet në skedarin dalës. Nëse specifikoni "-" në vend të emrit të skedarit, mbajtësi do të qëndrojë në pritje të hyrjes nga transmetimi standard, i cili mund të përdoret për të shkaktuar një mohim të shërbimit (CVE-2022-44267).
Një përditësim për të rregulluar dobësinë nuk është lëshuar ende, por zhvilluesit e ImageMagick rekomanduan që si një zgjidhje për të bllokuar rrjedhjen, të krijonin një rregull në cilësimet që kufizon aksesin në shtigje të caktuara skedarësh. Për shembull, për të mohuar aksesin nëpërmjet shtigjeve absolute dhe relative, mund të shtoni sa vijon në policy.xml:
Një skript për gjenerimin e imazheve PNG që shfrytëzojnë cenueshmërinë tashmë është i disponueshëm publikisht.
Burimi: opennet.ru