ImageMagick-kuvanmuunnostyökalussa vakava haavoittuvuus

Useilla sivustoilla ja sisällönhallintajärjestelmissä käytetystä ImageMagick-kuvanmuunnostyökalusta on löydetty merkittävä haavoittuvuus, jonka avulla on mahdollista suorittaa komentoja palvelimella. Haavoittuvuutta hyväksikäyttävä hyökkäyskoodi on jo julkisesti saatavilla.

Haavoittuvuuden hyväksikäyttäminen tapahtuu lähettämällä tietyllä tavalla muokattu kuvatiedosto sivustolle käsiteltäväksi esimerkiksi kuvan koon muokkaamista varten.

  • Palvelimet ja palvelinsovellukset
  • Työasemat ja loppukäyttäjäsovellukset
  • Verkon aktiivilaitteet
  • Matkaviestinjärjestelmät
  • Sulautetut järjestelmät
  • Muut

Kohde

  • Palvelimet ja palvelinsovellukset
Lisätietoa +

Hyökkäystapa

  • Etäkäyttö
Lisätietoja hyökkäystavasta +

Hyväksikäyttö

  • Komentojen mielivaltainen suorittaminen
Lisätietoja hyväksikäytöstä +

Ratkaisu

  • Korjaava ohjelmistopäivitys
  • Ongelman rajoittaminen
Lisätietoja ratkaisusta +

Haavoittuvat ohjelmistot:

  • ImageMagick, versioita 7.0.1-1 ja 6.9.3-10 vanhemmat versiot

Ratkaisu- ja rajoitusmahdollisuudet:

Päivitä ImageMagick uusimpaan versioon valmistajan ohjeiden mukaisesti tai käyttöjärjestelmän paketinhallinnan avulla. Päivitetyt versiot on määrä julkaista viikonloppuna 6.-8.5.2016.

Haavoittuvuuden hyväksikäyttö kannattaa estää jo ennen päivitysten asentamista lisäämällä ImageMagickin policy.xml-asetustiedostoon seuraavat rivit:

<policymap>
<policy domain="coder" rights="none" pattern="EPHEMERAL" />
<policy domain="coder" rights="none" pattern="URL" />
<policy domain="coder" rights="none" pattern="HTTPS" />
<policy domain="coder" rights="none" pattern="MVG" />
<policy domain="coder" rights="none" pattern="MSL" />
</policymap>
Asetustiedosto sijaitsee tyypillisesti hakemistossa /etc/ImageMagick.

Lisätietoa:

Päivityshistoria

Asiasanat: Tietoturva , Nollapäivähaavoittuvuus , Haavoittuvuudet

LinkedIn Print

Yhteystiedot

logo

Viestintävirasto

Kyberturvallisuuskeskus

PL 313, 00181 Helsinki


Mediayhteydenotot puhelimitse 0295 390 248