Attacker mot applikationer som använder ImageMagick med standardkonfiguration

CERT-koordinationscentret (Computer Emergency Response Team) har publicerat en varning om sårbarheter som drabbar applikationer och webbplatser som använder biblioteket ImageMagick med standardkonfiguration för bildbearbetning eller konvertering. En framgångsrik utnyttjande kan möjliggöra för en angripare att läsa och skriva filer, beroende på de behörigheter som ImageMagick körs med. Sårbarheterna har fått kodnamnet ImageTragick2, på liknande sätt som problemet som upptäcktes 2016.

Under de senaste två månaderna har cirka hundra sårbarheter åtgärdats i ImageMagick, men problemen som CERT varnar för beror inte på buggar i ImageMagick-koden, utan på att standardinställningar tillåter anrop av externa hanterare för SVG- och PostScript-format.
Hanteraren i ImageMagick väljs baserat på innehållet, snarare än filändelsen, så om applikationen filtrerar uppladdningar på filändelser kan en angripare överföra data i SVG- eller PostScript-format, till exempel i form av JPEG- eller PNG-filer.

Möjligheten att utnyttja sårbarheten har bekräftats i applikationer baserade på Ruby on Rails och WordPress, men utesluter även andra projekt som använder ImageMagick för bildkonvertering, beskärning och skapande av miniatyrer, såsom MediaWiki, ownCloud Classic och Redmine. Problemet omfattar även AI-verktyg som anropar ImageMagick när de utför uppgifter relaterade till bildbehandling.

Två attackscenarier presenteras:

• Anrop av innehållshanteraren på MSL (Magick Scripting Language) genom att överföra en specialdesignad SVG-bild där elementet innehåller en länk «xlink:href» till en resurs med protokollet «MSL:». ImageMagick tolkar innehållet i denna resurs som ett skript på MSL-språket, där operationer för att läsa och skriva filer är tillåtna i MSL-skript. Utöver MSL kan en liknande trick med SVG användas för att bearbeta andra farliga typer av innehåll.
• Anrop av Ghostscript-tolk för att bearbeta innehåll i PostScript-format. Ghostscript startas med flaggan "-dSAFER", vilket inte begränsar åtkomst till katalogen /tmp, vilket gör det möjligt för en angrepp att läsa eller ändra filer i denna katalog (till exempel kan applikationer tillfälligt lagra sessiondata och uppladdade filer i /tmp). Ghostscript har också regelbundet sårbarheter som helt kan kringgå begränsningen "-dSAFER" (den senaste sårbarheten avslöjades den 10 november).

Att blockera sårbarheter räcker inte med att uppdatera ImageMagick; det krävs en ändring av inställningarna i filen /etc/ImageMagick/policy.xml, där endast stöd för de mest nödvändiga filformaten och operationerna bör lämnas, eller åtminstone bör anrop av externa processorer för filformaten MSL, MVG, PS, EPS och PDF förbjudas. Utöver detta rekommenderas det att isolera koden för att konvertera externa bilder i en separat behållare, kontrollera filer inte bara efter filändelse utan också efter innehåll, samt att ställa in övervakning av ImageMagick-loggar för fel och ovanlig aktivitet.

<policy domain=»coder» rights=»none» pattern=»MSL»/>
<policy domain=»delegate» rights=»none» pattern=»gs»/>
<policy domain=»coder» rights=»none» pattern=»{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}»/>

Källa: opennet.ru