Sécurité d'ImageMagick

Reading time: 4 minutes

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE)

Soutenir HackTricks

Consultez plus de détails sur https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html

ImageMagick, une bibliothèque de traitement d'images polyvalente, présente un défi dans la configuration de sa politique de sécurité en raison de ses nombreuses options et du manque de documentation détaillée en ligne. Les utilisateurs créent souvent des politiques basées sur des sources fragmentées sur Internet, ce qui peut entraîner des erreurs de configuration. La bibliothèque prend en charge un vaste éventail de plus de 100 formats d'image, chacun contribuant à sa complexité et à son profil de vulnérabilité, comme le montrent les incidents de sécurité historiques.

Vers des politiques plus sûres

Pour relever ces défis, un outil a été développé pour aider à concevoir et à auditer les politiques de sécurité d'ImageMagick. Cet outil est basé sur des recherches approfondies et vise à garantir que les politiques ne sont pas seulement robustes, mais aussi exemptes de failles pouvant être exploitées.

Approche de liste autorisée vs liste interdite

Historiquement, les politiques d'ImageMagick reposaient sur une approche de liste interdite, où des codeurs spécifiques se voyaient refuser l'accès. Cependant, des changements dans ImageMagick 6.9.7-7 ont modifié ce paradigme, permettant une approche de liste autorisée. Cette approche refuse d'abord l'accès à tous les codeurs, puis accorde sélectivement l'accès à ceux de confiance, renforçant ainsi la posture de sécurité.

xml
...
<policy domain="coder" rights="none" pattern="*" />
<policy domain="coder" rights="read | write" pattern="{GIF,JPEG,PNG,WEBP}" />
...

Sensibilité à la casse dans les politiques

Il est crucial de noter que les modèles de politique dans ImageMagick sont sensibles à la casse. En tant que tel, s'assurer que les codeurs et les modules sont correctement en majuscules dans les politiques est vital pour prévenir des permissions non intentionnelles.

Limites de ressources

ImageMagick est sujet à des attaques par déni de service si ce n'est pas correctement configuré. Définir des limites de ressources explicites dans la politique est essentiel pour prévenir de telles vulnérabilités.

Fragmentation des politiques

Les politiques peuvent être fragmentées à travers différentes installations d'ImageMagick, ce qui peut entraîner des conflits ou des remplacements potentiels. Il est recommandé de localiser et de vérifier les fichiers de politique actifs en utilisant des commandes comme :

shell
$ find / -iname policy.xml

Une politique restrictive de départ

Un modèle de politique restrictive a été proposé, axé sur des limitations strictes des ressources et des contrôles d'accès. Ce modèle sert de base pour développer des politiques sur mesure qui s'alignent sur les exigences spécifiques des applications.

L'efficacité d'une politique de sécurité peut être confirmée en utilisant la commande identify -list policy dans ImageMagick. De plus, l'outil d'évaluation mentionné précédemment peut être utilisé pour affiner la politique en fonction des besoins individuels.

Références

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE)

Soutenir HackTricks