CVE-2022-44268 har identifierats i ImageMagick-paketet, som ofta används av webbutvecklare för att konvertera bilder, vilket kan leda till filinnehållsläckage om PNG-bilder förberedda av en angripare konverteras med ImageMagick. Sårbarheten påverkar system som bearbetar externa bilder och sedan låter konverteringsresultaten laddas.
Sårbarheten orsakas av att ImageMagick vid bearbetning av en PNG-bild använder innehållet i parametern "profile" från metadatablocket för att bestämma namnet på profilfilen som ingår i den resulterande filen. För en attack räcker det alltså att lägga till parametern "profile" till PNG-bilden med den nödvändiga filsökvägen (till exempel "/etc/passwd") och vid bearbetning av en sådan bild, till exempel när bildens storlek ändras , kommer innehållet i den önskade filen att inkluderas i utdatafilen. Om du anger "-" istället för ett filnamn, kommer hanteraren att hänga i väntan på input från standardströmmen, som kan användas för att utföra ett överbelastningsskydd (CVE-2022-44267).
En uppdatering med en fix för sårbarheten har ännu inte släppts, men ImageMagick-utvecklarna rekommenderade att som en lösning för att blockera läckan, skapa en regel i inställningarna som begränsar åtkomsten till vissa filsökvägar. Om du till exempel vill neka åtkomst till absoluta och relativa sökvägar i policy.xml kan du lägga till:
Ett skript för att generera PNG-bilder som utnyttjar sårbarheten har redan placerats i det offentliga området.
Källa: opennet.ru