Paket ImageMagick, anu sering dianggo ku pamekar wéb pikeun ngarobih gambar, gaduh kerentanan CVE-2022-44268, anu tiasa nyababkeun bocor eusi file upami gambar PNG anu disiapkeun ku panyerang dirobih nganggo ImageMagick. Kerentanan mangaruhan sistem anu ngolah gambar éksternal teras ngantepkeun hasil konvérsi dimuat.
Kerentanan disababkeun ku kanyataan yén nalika ImageMagick ngolah gambar PNG, éta ngagunakeun eusi parameter "profil" tina blok metadata pikeun nangtukeun nami file profil, anu kalebet dina file anu dihasilkeun. Janten, pikeun serangan, cukup pikeun nambihan parameter "profil" kalayan jalur file anu diperyogikeun kana gambar PNG (contona, "/etc/passwd") sareng nalika ngolah gambar sapertos kitu, contona, nalika ngatur ukuran gambar. , eusi file nu diperlukeun bakal kaasup kana file output. Upami anjeun netepkeun "-" tinimbang nami file, pawang bakal ngagantung ngantosan input tina aliran standar, anu tiasa dianggo pikeun nyababkeun panolakan jasa (CVE-2022-44267).
Pembaruan pikeun ngalereskeun kerentanan henteu acan dileupaskeun, tapi pamekar ImageMagick nyarankeun yén salaku solusi pikeun meungpeuk bocor, ngadamel aturan dina setélan anu ngabatesan aksés kana jalur file anu tangtu. Contona, pikeun nolak aksés ngaliwatan jalur mutlak jeung relatif, Anjeun bisa nambah di handap ieu policy.xml:
Skrip pikeun ngahasilkeun gambar PNG anu ngeksploitasi kerentanan parantos sayogi umum.
sumber: opennet.ru