ImageMagick高危命令执行漏洞(CVE-2016-3714)

漏洞描述:
ImageMagick官方,目前程序存在一处远程命令执行漏洞(CVE-2016-3714),当其处理的上传图片带有攻击代码时,可远程实现远程命令执行,进而可能控制服务器,此漏洞被命名为ImageTragick。ImageMagick是一款开源图片处理库,支持PHP、Ruby、NodeJS和Python等多种语言,使用非常广泛。包括PHP imagick、Ruby rmagick和paperclip以及NodeJS imagemagick等多个图片处理插件都依赖它运行。可能的影响范围包括各类流行的内容管理系统(CMS)。
影响影响范围:
 ImageMagick <= 6.9.3-9
1、调用ImageMagick的库实现图片处理和渲染的应用。
ImageMagick 为多种语言提供了api,具体可参考http://www.imagemagick.org/script/api.php
2、很多流行的内容管理系统(CMS)使用了ImageMagick ,例如 WordPress 的图片处理插件已被证实存在远程命令执行的漏洞(Author 及以上权限用户执行)。其他例如MediaWiki、phpBB和vBulletin 使用了ImageMagick 库生成缩略图,还有一些程序如LyX使用ImageMagick转换图片格式。以上应用可能受到此漏洞影响。
3、如果通过shell 中的convert 命令实现一些图片处理功能,也会受到此漏洞影响。
漏洞等级:
高危
漏洞验证方法:
若系统中安装使用了ImageMagick,本地执行如下命令:
convert 'https://example.com"|ls "-la' out.png
若ls -la 命令成功执行,说明存在漏洞。未执行ls 命令,并报错,说明不受影响。
修复建议(临时):
1、由于远程命令执行时,命令代码是包含在图片中上传的,所以在图片上传时需要对图片内容进行检验。
2、Linux临时防护方案 :编辑 /etc/ImageMagick/policy.xml ,在 之间增加以下几行
<policy domain="coder" rights="none" pattern="EPHEMERAL" />
<policy domain="coder" rights="none" pattern="URL" />
<policy domain="coder" rights="none" pattern="HTTPS" />
<policy domain="coder" rights="none" pattern="MVG" />
<policy domain="coder" rights="none" pattern="MSL" />
3、在官网下载最新的安装包并在本地安装。(http://www.imagemagick.org/script/binary-releases.php

Install from Unix Source

ImageMagick builds on a variety of Unix and Unix-like operating systems including Linux, Solaris, FreeBSD, Mac OS X, and others. A compiler is required and fortunately almost all modern Unix systems have one. Download ImageMagick.tar.gz from www.imagemagick.org or a mirrors and verify its message digest.

Unpack the distribution with this command:

tar xvzf ImageMagick.tar.gz

Next configure and compile ImageMagick:

cd ImageMagick-7.0.1
 ./configure
make
make install

您可以选择一种方式赞助本站

支付宝转账赞助

支付宝扫一扫赞助

  • 版权声明:本文源自互联网,于1年前,由olinux整理发表,共 1631字。
  • 原文链接:点此查看原文

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen:

图片 表情