SafeUM
Home Блог Услуги Скачать Помощь О нас Пополнить
EN
RU

Axarhöfði 14, 110 Reykjavik, Iceland

Iceland - 2015
SafeUM
Блог
Услуги
Скачать
Помощь
О нас
Пополнить
Меню
RU
Язык
EN
RU
Архив
TOP Security!
4 Май 2016

Уязвимость в ImageMagick ставит под угрозу множество сайтов

В наборе утилит ImageMagick, который предназначен для чтения и редактирования файлов различных графических форматов, выявлена опасная уязвимость нулевого дня, которую сами исследователи назвали ImageTragick.

Так как набор ImageMagick является основой для множества библиотек обработки изображений и модулей, его использует огромное количество сайтов, и он широко поддерживается Ruby, JavaScript, PHP, Java, NodeJS и так далее. Проблема в том, что эксплоиты уже существуют, а патча пока нет.

Сообщается, что очередную «именную» уязвимость нашли двое исследователей, один из которых известен под псевдонимом Stewie, а второй под реальным именем — Николай Ермишкин, сотрудник компании Mail.ru. Исследователи обнаружили в ImageMagick 7.0.1-1 и 6.9.3-10 ряд проблем, основной из которых является CVE-2016–3714. Она позволяет удаленное выполнение произвольного кода, а эксплуатировать ее очень легко – достаточно чтобы на сайте была разрешена загрузка пользовательских изображений.

Эксперты пишут, что баг уже используется злоумышленниками для атак. Именно по этой причине уязвимость решили придать огласке, не дожидаясь выхода официального патча. Исследователи уверены, что предупредив администраторов сайтов об уязвимости 0-day и новой атаке, а также рассказав им, как не стать жертвой злоумышленников, они делают доброе дело.

Единственное необходимое для выполнения атаки условие: пользователи должны иметь возможность загружать на сервер собственные изображения. Такое встречается на миллионах сайтов, к примеру, пользователям предоставляют возможность загрузить свой аватар. Так как для обработки аватарки или очередной картинки с мемом, скорее всего, будут использованы утилиты ImageMagick, это может привести к компрометации сервера.

Подробности атаки исследователи пока не раскрывают, не желая вкладывать в руки злоумышленников оружие в виде фактического эксплоита. Тем не менее, эксперты признают, что эксплоит для этой уязвимости очень прост. Из описания проблемы и способов уклонения от нее, можно понять, что она касается кодеков ImageMagick и так называемых magic bytes: первые несколько байтов в коде файла, которые, как правило, используются для идентификации типа файла. К примеру, GIF начинаются с «47 49 46 38», JPEG с «FF D8» и так далее.

Разработчики ImageMagick уже знают об уязвимости. Хотя среди исходных кодов проекта можно найти зачатки будущего патча, он пока не готов. Пока исправление не вышло, на официальном сайте опубликованы инструкции о том, как защититься от нового вектора атак. В частности, администраторам сайтов рекомендуется проверить magic bytes всех пользовательских файлов, а также отредактировать файл policy.xml, добавив туда следующие строки:

<policymap>
<policy domain=»coder» rights=»none» pattern=»EPHEMERAL» />
<policy domain=»coder» rights=»none» pattern=»URL» />
<policy domain=»coder» rights=»none» pattern=»HTTPS» />
<policy domain=»coder» rights=»none» pattern=»MVG» />
<policy domain=»coder» rights=»none» pattern=»MSL» />
</policymap>
Теги:
утечка информации ImageMagick уязвимость нулевого дня
Источник:
Хакер
646
ДРУГИЕ НОВОСТИ
20 Апр 2018 safeum news imgage 20 миллионов человек установили поддельные блокировщики рекламы
20 Апр 2018 safeum news imgage Обнаружена утечка данных 48 млн пользователей LinkedIn, Facebook и других сервисов
19 Апр 2018 safeum news imgage Сетевые накопители LG подвержены критической уязвимости
18 Апр 2018 safeum news imgage Apple начнет продавать безлимитный абонемент на доступ к журналам
18 Апр 2018 safeum news imgage Крупный банк впервые задействовал блокчейн для денежных переводов
17 Апр 2018 safeum news imgage Производители Android-смартфонов скрывают небезопасность своих устройств
16 Апр 2018 safeum news imgage В Gmail появятся "самоуничтожающиеся" письма
16 Апр 2018 safeum news imgage 12 сотрудников Apple арестовали за утечки
13 Апр 2018 safeum news imgage Миллионы компьютеров по-прежнему заражены WannaCry
13 Апр 2018 safeum news imgage Суд постановил, что Apple должна полмиллиарда "патентному троллю"
12 Апр 2018 safeum news imgage Хакеры взломали учетную запись сервиса Vevo на YouTube
11 Апр 2018 safeum news imgage США будут следить за СМИ и блогерами по всему миру
10 Апр 2018 safeum news imgage США собираются изучать соцсети подающих на визу
6 Апр 2018 safeum news imgage Главы Facebook и Apple поспорили о защите интересов пользователей
5 Апр 2018 safeum news imgage Зловред-вымогатель для робота
Все новости
SafeUM
Конфиденциальность Наши технологии О компании
Контакты
Скачать
SafeUM © Безопасный универсальный мессенджер

Axarhöfði 14,
110 Reykjavik, Iceland

Iceland - 2015