ImageMagick là phần mềm , là bộ thư viện xử lý, chỉnh sửa, soạn thảo, chuyển đổi hình ảnh/video rất phổ biến. Bộ phần mềm này miễn phí. Hiện trên các server share hosting, web server, server encode, decode phim hầu như đều sử dụng bộ phần mềm ImageMagick
Vừa rồi cộng đồng mã nguồn mở vừa phát hiện lỗ hổng bảo mật về lập trình của phần mềm này. Lỗ hổng này cho phép thực thi mã từ xa làm ảnh hưởng đến dữ liệu, các tệp tin trên server local. ImageMagick có các policy được phát triển từ nhiều năm trước cho phép ngăn chặn việc khai thác và thực thi lỗ hổng bảo mật này.
POC
PoC: save as file.mvg and then run convert file.mvg o.png
viewbox 0 0 1 1 image over 0,0 0,0 ‘https://test/” && touch /tmp/hacked && echo “1′
Cách ngăn chặn lỗ hổng bảo mật ImageMagick CVE-2016-3714
Để ngăn chặn lỗ hổng bảo mật ImageMagick CVE-2016-3714 , cần thực thêm:
- <policy domain=”coder” rights=”none” pattern=”EPHEMERAL” />
- <policy domain=”coder” rights=”none” pattern=”HTTPS” />
- <policy domain=”coder” rights=”none” pattern=”MVG” />
- <policy domain=”coder” rights=”none” pattern=”MSL” />
- <policy domain=”coder” rights=”none” pattern=”TEXT” />
vào file policy.xml tại session <policymap>
File policy.xml tùy theo hệ điều hành và cách cài đặt mà có thể có tại các vị trí sau:
/opt/alt/alt-ImageMagick/etc/ImageMagick-6/policy.xml (với Cloudlinux)
/opt/cloudlinux/lib/ImageMagick-6.5.4/config/policy.xml (với Cloudlinux)
/etc/ImageMagick/policy.xml
Thông tin tham khảo thêm:
https://www.imagemagick.org/discourse-server/viewtopic.php?f=4&t=29588#p132726
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2016-3714
https://access.redhat.com/security/vulnerabilities/2296071
https://cloudlinux.com/cloudlinux-os-blog/entry/imagemagick-filtering-vulnerability-cve-2016-3714