ImageMagick Bezbednost

Reading time: 3 minutes

Proverite dalje detalje na https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html

ImageMagick, svestrana biblioteka za obradu slika, predstavlja izazov u konfigurisanju svoje bezbednosne politike zbog svojih opsežnih opcija i nedostatka detaljne online dokumentacije. Korisnici često kreiraju politike na osnovu fragmentisanih izvora sa interneta, što može dovesti do potencijalnih pogrešnih konfiguracija. Biblioteka podržava širok spektar od preko 100 formata slika, od kojih svaki doprinosi njenoj složenosti i profilu ranjivosti, što su pokazali istorijski bezbednosni incidenti.

Ka Bezbednijim Politikama

Kako bi se rešili ovi izazovi, alat je razvijen da pomogne u dizajniranju i reviziji bezbednosnih politika ImageMagick-a. Ovaj alat je zasnovan na opsežnom istraživanju i ima za cilj da osigura da politike budu ne samo robusne, već i bez rupa koje bi mogle biti iskorišćene.

Pristup sa Dozvoljenom i Zabraniom Listom

Istorijski, politike ImageMagick su se oslanjale na pristup sa zabranjenom listom, gde su određeni kodovi bili uskraćeni pristupu. Međutim, promene u ImageMagick 6.9.7-7 su pomerile ovu paradigmu, omogućavajući pristup sa dozvoljenom listom. Ovaj pristup prvo uskraćuje pristup svim kodovima, a zatim selektivno odobrava pristup pouzdanim, čime se poboljšava bezbednosna pozicija.

...
<policy domain="coder" rights="none" pattern="*" />
<policy domain="coder" rights="read | write" pattern="{GIF,JPEG,PNG,WEBP}" />
...

Osetljivost na velika i mala slova u politikama

Važno je napomenuti da su obrasci politika u ImageMagick-u osetljivi na velika i mala slova. Stoga je od suštinskog značaja osigurati da su kodovi i moduli pravilno napisani velikim slovima u politikama kako bi se sprečile nenamerne dozvole.

Ograničenja resursa

ImageMagick je podložan napadima uskraćivanja usluga ako nije pravilno konfiguran. Postavljanje eksplicitnih ograničenja resursa u politici je od suštinskog značaja za sprečavanje takvih ranjivosti.

Fragmentacija politika

Politike mogu biti fragmentisane kroz različite instalacije ImageMagick-a, što može dovesti do potencijalnih sukoba ili preklapanja. Preporučuje se da se lociraju i verifikuju aktivne datoteke politika koristeći komande kao što su:

$ find / -iname policy.xml

Početna, Restriktivna Politika

Predložen je šablon restriktivne politike, fokusirajući se na stroga ograničenja resursa i kontrole pristupa. Ovaj šablon služi kao osnova za razvoj prilagođenih politika koje se usklađuju sa specifičnim zahtevima aplikacija.

Efikasnost bezbednosne politike može se potvrditi korišćenjem komande identify -list policy u ImageMagick-u. Pored toga, evaluator tool pomenut ranije može se koristiti za usavršavanje politike na osnovu individualnih potreba.

Reference

• https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html**