安全预警：ImageMagick图象处理软件存在远程代码执行(CVE20163714)

ImageMagick是一款广泛流行的图像处理软件&＃xff0c;有无数的网站使用它来进行图像处理&＃xff0c;但在本周二&＃xff0c;ImageMagick披露出了一个严重的 0day漏洞&＃xff0c;此漏洞允许攻击者通过上传恶意构造的图像文件&＃xff0c;在目标服务器执行任意代码。Slack安全工程师Ryan Hube发现了这一0day漏洞。

如果你在网站中使用了ImageMagick去识别&＃xff0c;裁剪或者调整用户上传的图像&＃xff0c;你必须确认已经使用了这些缓解措施&＃xff0c;并且调整你的代码只接受有效的图像文件&＃xff0c;沙盒ImageMagick也是一个不错的主意。

在这个安全漏洞公布之后&＃xff0c;这一漏洞的EXP也随即被发布&＃xff0c;并被命名为&＃xff1a;Imagetragick。漏洞的EXP已经通过邮件和论坛广泛传播&＃xff0c;所以如果你使用了ImageMagick去处理用户输入&＃xff0c;请立即采取相应的缓解措施。

ImageMagick被许多编程语言所支持&＃xff0c;包括Perl&＃xff0c;C&＃43;&＃43;&＃xff0c;PHP&＃xff0c;Python和Ruby等&＃xff0c;并被部署在数以百万计的网站&＃xff0c;博客&＃xff0c;社交媒体平台和流行的内容管理系统(CMS)&＃xff0c;例如WordPress和Drupal。

该漏洞的利用十分简单&＃xff0c;通过上传一个恶意图像到目标Web服务器上&＃xff0c;攻击者就可以执行任意代码&＃xff0c;窃取重要信息&＃xff0c;用户帐户等

换句话说&＃xff0c;只有采用了ImageMagick&＃xff0c;且允许用户上传图像的网站&＃xff0c;才会受到影响。
ImageMagick团队已经承认了此漏洞&＃xff0c;称&＃xff1a;
最近发布的漏洞报告……包含可能存在的远程代码执行。
虽然该团队还没有公布任何安全补丁&＃xff0c;但它建议网站管理者应该在配置文件中添加几行代码去阻止攻击&＃xff0c;至少在某些情况下可以防御。
Web管理员同时被建议在文件发送给ImageMagick处理前&＃xff0c;检查文件的magic bytes。Magic bytes是一个文件的前几个字节&＃xff0c;被用于识别图像类型&＃xff0c;例如GIF&＃xff0c;JPEG和PNG等。

为了让你更好地了解你将要面对的漏洞&＃xff0c;下面提供一个可以瞒过ImageMagick的示例文件&＃xff1a;

push graphic-contextviewbox 0 0 640 480fill ‘url(https://example.com/image.jpg“|ls “-la)’pop graphic-context

将其保存为任意的扩展名&＃xff0c;例如expoit.jpg&＃xff0c;然后通过ImageMagick去运行它
convert exploit.jpg out.png
是的&＃xff0c;ImageMagick将会去执行嵌入的代码&＃xff1a;ls -l命令。
将这条命令替换为其它的恶意命令&＃xff0c;将会直接威胁到目标机器&＃xff0c;不过你可能会触犯一些法律。
该漏洞将在ImageMagick 7.0.1-1和6.9.3-10版本中被修补&＃xff0c;这些新版本预计将在周末前被公布。

&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;分割线&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;
文章转载自 开源中国社区[http://www.oschina.net]