Za Sekurakiem

Cytat:Błąd w ImageMagick umożliwia zdalne wykonanie kodu – wystarczy uploadowanie odpowiednio spreparowanego pliku graficznego.

Są gotowe exploity, jest też niekompletny fix (na dzień 4.05.2016), a relacje środowiska są dość nerwowe a całe upublicznienie sprawy dość szybkie i momentami chaotyczne.
Jako bonus (niezależnie od OS command exec) możliwe są też scenariusze: SSRF, czytanie, kasowanie plików z FS

ImageMagick to niezmiernie popularne narzędzie służące do obróbki formatów graficznych. Wielu z Was może jej używać nawet nie zdając sobie z tego sprawy ;-)

Cytat:Choose from these interfaces: G2F (Ada), MagickCore ©, MagickWand ©, ChMagick (Ch), ImageMagickObject (COM+), Magick++ (C++), JMagick (Java), L-Magick (Lisp), Lua (LuaJIT), NMagick (Neko/haXe), Magick.NET (.NET), PascalMagick (Pascal), PerlMagick (Perl), MagickWand for PHP (PHP), IMagick (PHP), PythonMagick (Python), RMagick (Ruby), or TclMagick (Tcl/TK).

W czym leży problem? W fakcie, że ImageMagick może używać zewnętrznych bibliotek przekazując do nich parametry od użytkownika, które jak się okazuje nie są odpowiednio filtrowane: 

Cytat:  ImageMagick allows to process files with external libraries. This feature is called ‚delegate’. It is implemented as a system() with command string (‚command’) from the config file delegates.xml with actual value for different params (input/output filenames etc). Due to insufficient %M param filtering it is possible to conduct shell command injection.

Przykład exploitu poniżej – można też przemianować rozszerzenie na zwykły jpg:

Cytat:ImageMagick tries to guess the type of the file by it’s content, so exploitation doesn’t depend on the file extension. You can rename exploit.mvg to exploit.jpg or exploit.png to bypass file type checks.

[Aby zobaczyć linki, zarejestruj się tutaj]

[Aby zobaczyć linki, zarejestruj się tutaj]

Na marginesie...ImageMagic używają tak znane programy i serwisy jak Drupal, phpBB, MediaWiki, vBulletin.

Źródło

[Aby zobaczyć linki, zarejestruj się tutaj]

Poniżej artykuł oryginalny, w którym jest również zaktualizowana informacja na temat łatania luki

[Aby zobaczyć linki, zarejestruj się tutaj]

oraz wątek na forum ImageMagic na temat luki i sposobu jej łatania

[Aby zobaczyć linki, zarejestruj się tutaj]