ImageMagick Security

Reading time: 4 minutes

Check further details in https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html

ImageMagick, svestrana biblioteka za obradu slika, predstavlja izazov u konfigurisanju svoje bezbednosne politike zbog svojih opsežnih opcija i nedostatka detaljne online dokumentacije. Korisnici često kreiraju politike na osnovu fragmentisanih izvora sa interneta, što može dovesti do potencijalnih pogrešnih konfiguracija. Biblioteka podržava širok spektar od preko 100 formata slika, od kojih svaki doprinosi njenoj složenosti i profilu ranjivosti, što su pokazali istorijski bezbednosni incidenti.

Towards Safer Policies

Da bi se rešili ovi izazovi, razvijen je alat koji pomaže u dizajniranju i reviziji bezbednosnih politika ImageMagick-a. Ovaj alat se zasniva na opsežnom istraživanju i ima za cilj da osigura da politike budu ne samo robusne, već i bez rupa koje bi mogle biti iskorišćene.

Allowlist vs Denylist Approach

Istorijski, politike ImageMagick-a oslanjale su se na pristup denylist, gde su određenim kodovima bio uskraćen pristup. Međutim, promene u ImageMagick 6.9.7-7 su pomerile ovu paradigmu, omogućavajući pristup allowlist. Ovaj pristup prvo uskraćuje pristup svim kodovima, a zatim selektivno odobrava pristup pouzdanim, čime se poboljšava bezbednosna pozicija.

...
<policy domain="coder" rights="none" pattern="*" />
<policy domain="coder" rights="read | write" pattern="{GIF,JPEG,PNG,WEBP}" />
...

Osetljivost na velika i mala slova u politikama

Važno je napomenuti da su obrasci politika u ImageMagick-u osetljivi na velika i mala slova. Stoga je od suštinskog značaja osigurati da su kodovi i moduli pravilno napisani velikim slovima u politikama kako bi se sprečile nenamerne dozvole.

Ograničenja resursa

ImageMagick je podložan napadima uskraćivanja usluga ako nije pravilno konfigurisan. Postavljanje eksplicitnih ograničenja resursa u politici je od suštinskog značaja za sprečavanje takvih ranjivosti.

Fragmentacija politika

Politike mogu biti fragmentisane kroz različite instalacije ImageMagick-a, što može dovesti do potencijalnih sukoba ili preklapanja. Preporučuje se da se lociraju i verifikuju aktivne datoteke politika koristeći komande kao što su:

$ find / -iname policy.xml

Početna, Restriktivna Politika

Predložen je šablon za restriktivnu politiku, fokusirajući se na stroga ograničenja resursa i kontrole pristupa. Ovaj šablon služi kao osnova za razvoj prilagođenih politika koje se usklađuju sa specifičnim zahtevima aplikacija.

Efikasnost bezbednosne politike može se potvrditi korišćenjem komande identify -list policy u ImageMagick-u. Pored toga, evaluator tool pomenut ranije može se koristiti za usavršavanje politike na osnovu individualnih potreba.

Reference

• https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html**