CVE-2023-34152

Podatność wynika z nieprawidłowej walidacji danych wejściowych (CWE-20) w komponencie OpenBlob biblioteki ImageMagick, co prowadzi do command injection (CWE-78). Gdy ImageMagick zostaje skompilowany z flagą --enable-pipes, mechanizm otwierania plików umożliwia osadzenie złośliwych poleceń systemowych w nazwie lub ścieżce pliku. Atakujący może przekazać spreparowany ciąg znaków, który zostanie zinterpretowany jako polecenie powłoki systemowej i wykonany przez serwer.

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu (RCE) na serwerze z uprawnieniami procesu przetwarzającego obrazy, co może prowadzić do pełnego przejęcia systemu, ujawnienia poufnych danych lub naruszenia jego integralności.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Rekomenduje się aktualizację ImageMagick do wersji zawierającej poprawkę opisaną w zgłoszeniu GitHub #6339 oraz biuletynach bezpieczeństwa Red Hat i Fedora. Jako środek zaradczy należy rozważyć rezygnację z kompilacji ImageMagick z opcją --enable-pipes lub ograniczenie możliwości przekazywania niezaufanych danych wejściowych do funkcji przetwarzających pliki.

ImageMagick z włączoną opcją kompilacji --enable-pipes; podatność dotyczy również pakietów dostarczanych w ramach Fedora oraz Red Hat Enterprise Linux (RHEL) i Fedora Extra Packages for Enterprise Linux (EPEL) — dokładne wersje wskazane w referencjach producenta