Vulnerabilità in ImageMagick, server web a rischio

ImageMagick è un software libero, multipiattaforma, utilizzato su centinaia di migliaia di server in tutto il mondo. Si tratta di una libreria che mette a disposizione una serie di strumenti per la creazione, la modifica e la visualizzazione di immagini bitmap.
Il vantaggio è la possibilità di usare ImageMagick da riga di comando ma, soprattutto, dalle pagine web elaborate lato server così da richiedere la modifica in tempo reale, ad esempio, delle immagini caricate dagli utenti.

Un ricercatore autonomo, Ryan Huber, ha tuttavia scoperto in queste ore alcune pericolose vulnerabilità nella libreria ImageMagick: le lacune di sicurezza appena individuata possono consentire, ad un aggressore remoto, di prendere pieno possesso del server.
Gran parte dei plugin che dipendono direttamente da ImageMagick, spiega Huber, sono a loro volta vulnerabili: PHP imagick, Ruby rmagick e paperclip nonché node.js imagemagick.

Fintanto che non saranno rilasciate patch risolutive, viene suggerito di modificare il file policy.xml in modo da disabilitare i moduli vulnerabili di ImageMagick.
Un’altra soluzione per mitigare i rischi di aggressione consiste nel verificare i primi bytes di ciascun file inviato dagli utenti. Ciascuna immagine contiene una sorta di “firma” iniziale che ne conferma la tipologia: controllare che un file inviato dall’utente sia effettivamente in formato JPG o GIF permette di mettersi al riparo.

Per maggiori informazioni, suggeriamo la lettura dell’analisi pubblicata da Huber in questa pagina. Il ricercatore non si è astenuto dall’usare una sottile vena ironica battezzando ImageTragick la scoperta di queste ore.

Su un server web in grado di elaborare script PHP, è possibile usare il codice seguente per controllare se l’estensione imagick fosse installata:

if(extension_loaded('imagick')) {
echo 'Imagick Loaded';
}

Nel caso in cui, al caricamento della pagina PHP, non dovesse apparire alcun messaggio, significa che l’estensione imagick non risulta abilitata sul server web in uso.