Lỗi bảo mật nghiêm trọng của ImageMagick CVE-2016-3714 và cách khắc phục tạm thời

ImageMagick là phần mềm , là bộ thư viện xử lý, chỉnh sửa, soạn thảo, chuyển đổi hình ảnh/video rất phổ biến. Bộ phần mềm này miễn phí. Hiện trên các server share hosting, web server, server encode, decode phim hầu như đều sử dụng bộ phần mềm ImageMagick

Vừa rồi cộng đồng mã nguồn mở vừa phát hiện lỗ hổng bảo mật về lập trình của phần mềm này. Lỗ hổng này cho phép thực thi mã từ xa làm ảnh hưởng đến dữ liệu, các tệp tin trên server local. ImageMagick có các policy được phát triển từ nhiều năm trước cho phép ngăn chặn việc khai thác và thực thi lỗ hổng bảo mật này.

POC

PoC: save as file.mvg and then run convert file.mvg o.png

viewbox 0 0 1 1 image over 0,0 0,0 ‘https://test/” && touch /tmp/hacked && echo “1′

Cách ngăn chặn lỗ hổng bảo mật ImageMagick CVE-2016-3714

Để ngăn chặn lỗ hổng bảo mật ImageMagick CVE-2016-3714 , cần thực thêm:

<policy domain=”coder” rights=”none” pattern=”EPHEMERAL” />

<policy domain=”coder” rights=”none” pattern=”HTTPS” />

<policy domain=”coder” rights=”none” pattern=”MVG” />
<policy domain=”coder” rights=”none” pattern=”MSL” />
<policy domain=”coder” rights=”none” pattern=”TEXT” />

 

vào file policy.xml tại session <policymap>

File policy.xml tùy theo hệ điều hành và cách cài đặt mà có thể có tại các vị trí sau:

/opt/alt/alt-ImageMagick/etc/ImageMagick-6/policy.xml (với Cloudlinux)
/opt/cloudlinux/lib/ImageMagick-6.5.4/config/policy.xml (với Cloudlinux)
/etc/ImageMagick/policy.xml

Thông tin tham khảo thêm:

https://www.imagemagick.org/discourse-server/viewtopic.php?f=4&t=29588#p132726

https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2016-3714

https://access.redhat.com/security/vulnerabilities/2296071

https://cloudlinux.com/cloudlinux-os-blog/entry/imagemagick-filtering-vulnerability-cve-2016-3714