Phát hiện lỗi mới trong tiện ích xử lý hình ảnh ImageMagick

[WhiteHat News #ID:3333]

Các nhà nghiên cứu hãng Metabase Q vừa tiết lộ chi tiết về hai lỗ hổng trong phần mềm nguồn mở ImageMagick có nguy cơ dẫn đến tấn công từ chối dịch vụ (DoS) và tiết lộ thông tin.

Hai lỗ hổng tồn tại trên ImageMagick phiên bản 7.1.0-49, đã được vá trong phiên bản 7.1.0-52 phát hành tháng 11 năm 2022.

CVE-2022-44267 - Lỗ hổng DoS phát sinh khi phân tích cú pháp hình ảnh PNG với tên tệp là một dấu gạch ngang ("-")

CVE-2022-44268 - Lỗ hổng tiết lộ thông tin có thể bị khai thác để đọc các tệp tùy ý từ máy chủ khi phân tích hình ảnh.

Điều này cũng có nghĩa, để khai thác thành công hacker phải tải một hình ảnh độc hại lên một trang web bằng ImageMagick. Hình ảnh độc hại đó có thể được tạo bằng cách chèn một đoạn văn bản chỉ định một số siêu dữ liệu do kẻ tấn công lựa chọn (ví dụ: "-" cho tên tệp).

"Nếu tên tệp được chỉ định là '-' (một dấu gạch ngang), ImageMagick sẽ đọc nội dung từ đầu vào tiêu chuẩn, có khả năng khiến quá trình chờ kéo dài".

Đây không phải là lần đầu tiên các lỗ hổng được phát hiện trong ImageMagick. Vào tháng 5 năm 2016, nhiều lỗ hổng đã được tiết lộ trong phần mềm này. Một trong số đó, một lỗi được đặt tên là ImageTragick, có thể đã bị lạm dụng để thực thi mã từ xa khi xử lý hình ảnh do người dùng gửi.

Một lỗ hổng chèn shell sau đó đã được tiết lộ vào tháng 11 năm 2020, trong đó hacker có thể chèn các lệnh tùy ý khi chuyển đổi tệp PDF được mã hóa thành hình ảnh thông qua tham số dòng lệnh "-authenticate".

Theo: The Hacker News​