В пакетах ImageMagick (http://www.imagemagick.org/) и GraphicsMagick (http://www.graphicsmagick.org/) выявлена ещё одна опасная уязвимость (http://seclists.org/oss-sec/2016/q2/432) (CVE-2016-5118), позволяющая выполнить произвольные команды shell при обработке специально оформленного имени файла. Проблема связана с передачей в вызов popen имени файла, без его проверки на наличие спецсимволов, что позволяет использовать модификатор "|", отвечающий за  ответвление процесса для создания канала ввода-вода. Передав вместо имени файла аргумент "|имя" можно выполнить произвольный код, например:

<font color="#461b7e">
   convert '|echo Hello > hello.txt;' null:
</font>

Кроме эксплуатации приложений,  для преобразования форматов изображений вызывающих утилиту convert, атака может быть проведена при обработке специально оформленных SVG- или MVG-файлов, в которых вместо ссылки на изображение может применяться конструкция:

<font color="#461b7e">

SVG:

   xlink:href="|echo Hello > hello.txt; cat /usr/lib/firefox/browser/icons/mozicon128.png"

MVG:

  push graphic-context
  viewbox 0 0 640 480
  image copy 200,200 100,100 "|echo Hello > hello.txt; cat /usr/lib/firefox/browser/icons/mozicon128.png"
  pop graphic-context

</font>

Проблема присутствует в функции OpenBlob() из состава blob.c. Не исключено, что кроме утилиты convert и обработчиков SVG/MVG, уязвимость может проявляться и в других областях применения GraphicsMagick и ImageMagick. В качестве решения проблемы рекомендуется отключить использование функции popen, убрав флаг HAVE_POPEN в файле magick/blob.c ("#undef HAVE_POPEN"). На момент написания новости исправление доступно лишь в виде патча (http://seclists.org/oss-sec/2016/q2/att-432/disable-popen-fi...). Обновления пакетов для дистрибутивов еще не сформированы: Debian (https://security-tracker.debian.org/tracker/CVE-2016-5118), Ubuntu (https://people.canonical.com/~ubuntu-security/cve/2016/CVE-2...), RHEL/CentOS (https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2016-5118), SUSE (https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-5118), openSUSE (https://lists.opensuse.org/opensuse-security-announce/2016-05/), FreeBSD (http://www.vuxml.org/freebsd/), Fedora (https://bodhi.fedoraproject.org/updates/?releases=F23&type=s...).

URL: http://seclists.org/oss-sec/2016/q2/432
Новость: http://www.opennet.me/opennews/art.shtml?num=44511

• Новая критическая уязвимость в GraphicsMagick и ImageMagick,Какаянахренразница, 10:39 , 30-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 10:53 , 30-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Stellarwind, 12:17 , 31-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,омномнимус, 11:17 , 30-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,Андрей, 11:23 , 30-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,й, 11:48 , 30-Май-16
    • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 11:56 , 30-Май-16
      • Новая критическая уязвимость в GraphicsMagick и ImageMagick,й, 13:03 , 30-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 12:19 , 30-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Какаянахренразница, 12:26 , 30-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 18:16 , 31-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,Сергей, 11:26 , 30-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Какаянахренразница, 12:18 , 30-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 12:21 , 30-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,тоже Аноним, 13:07 , 30-Май-16
    • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 13:46 , 30-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 13:41 , 30-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 15:07 , 30-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 13:46 , 30-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,chinarulezzz, 15:23 , 30-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 15:43 , 30-Май-16
    • Новая критическая уязвимость в GraphicsMagick и ImageMagick,chinarulezzz, 15:50 , 30-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,омномнимус, 15:46 , 30-Май-16
    • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 15:50 , 30-Май-16
      • Новая критическая уязвимость в GraphicsMagick и ImageMagick,омномнимус, 16:16 , 30-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Нанобот, 15:52 , 30-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,Кто тут, 08:51 , 31-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 09:17 , 31-Май-16
  • Новая критическая уязвимость в GraphicsMagick и ImageMagick,Led, 22:23 , 31-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,Alexey G, 21:40 , 31-Май-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,ano, 23:18 , 01-Июн-16
• Новая критическая уязвимость в GraphicsMagick и ImageMagick,Аноним, 02:05 , 02-Июн-16

Вот жеж зараза...

Никогда такого не было, и вот опять

Точно те же самые проблемы уже давным давно находили вроде в mplayer/mencoder, но авторы упорно продолжают ходить по граблям. Только там еще с плейлистами проблемы были.

> popen имени файла, без его проверки на наличие спецсимволов

говнокод, как он есть.

От этих пакетов никто особенно не зависит:

$ pactree -r -d 5 graphicsmagick
graphicsmagick
└─pdf2djvu
$ pactree -r -d 5 imagemagick
imagemagick
├─cups-filters
│ └─cups
│   └─cups-pdf
├─emacs
├─inkscape
└─pstoedit
  └─calligra-karbon

на вашем локалхосте -- возможно.

imagemagick активно используют веб-приложения, тот же redmine.

В redmine недели две назад добавили дополнительную защиту: https://github.com/redmine/redmine/commit/bf81c96b79cc80bc4f...

и как она защитит от malformed svg, как в новости?

Сервера активно используют их для конвертации, ресайза, обрезки и т.д. картинок, в том числе на лету.

> От этих пакетов никто особенно не зависит:

php5-imagick зависит. А он на многих веб-серверах используется.

На одном известном порносайте-галерее с самописным движком через предыдущую дыру в ImageMagic украли исходный код движка и базу пользователей с хешами паролей. Через имя файла тоже можно запустить tar+xz+curl, чтобы упаковать всё интересное и загрузить на сервер злоумышленника.

С другой стороны, подобная уязвимость может существовать и в других пакетах...

> С другой стороны, подобная уязвимость может существовать и в других пакетах...

Избушка-избушка, повернись к лесу передом, ко мне задом. Возможно, с другой стороны у тебя существует уязвимость.

Старый workaround подходит ( https://slashdot.org/comments.pl?sid=9074795&cid=52061711 ), как я полагаю.

// b.

А, собственно, какая из этих строчек прикроет дырку в SVG?

<policy domain="coder" rights="none" pattern="URL" />

Критическая статья бывает, а уязвимость критичная

Ежели хотел ум свой показать, так у тебя не вышло: под новостью кнопка "исправить" есть. Специально для таких случаев, прикинь?

...и этот патч делает #undef HAVE_POPEN? Да уж, исправление так исправление.

┌─[ ~ ]
└─$ gm convert '|echo Hello > hello.txt;' null:
gm convert: Unable to open file (/tmp/gmszBE6e) [Нет такого файла или каталога].

Что не так?!

Меня тоже держите в курсе :D

$ convert '|echo Hello > hello.txt;' null:
convert: no decode delegate for this image format `TXT;' @ error/constitute.c/ReadImage/501.
convert: no images defined `null:' @ error/convert.c/ConvertImageCommand/3210.

Debian GNU/Linux 8.4 (jessie)

$ convert --version
Version: ImageMagick 6.8.9-9 Q16 x86_64 2016-05-16

> Меня тоже держите в курсе :D

ааа, тупанул) проверил hello.txt, всё как и ожидалось.

$ convert '|echo Hello > hello.txt;' null:
convert.im6: no decode delegate for this image format `/tmp/magick-cAeKOHK7' @ error/constitute.c/ReadImage/544.
convert.im6: no images defined `null:' @ error/convert.c/ConvertImageCommand/3044.
$ cat hello.txt 
Hello
$ convert -version
Version: ImageMagick 6.7.7-10 2014-03-06 Q16 http://www.imagemagick.org
Copyright: Copyright (C) 1999-2012 ImageMagick Studio LLC
Features: OpenMP    

$ cat hello.txt
cat: hello.txt: Нет такого файла или каталога

ЧЯДНТ?

телепаты в отпуске

>Что не так?!

всё так, файл hello.txt создаётся

Выводится ошибка, но файл создается. Установил mc через imagemagic. Полет нормальный.

«... в вызов popen...» — главное, дальше можно не читать. Интересно, Тео же Раадт и компания рискнут убрать popen из libc?..

> Интересно, Тео же Раадт и компания рискнут убрать popen из libc?..

Пусть они сначала сами вылезут из popen.

http://git.imagemagick.org/repos/ImageMagick/commit/ca430ff7...

больше уязвимостей, хороших и разных

такая конструкция хорошо работает: convert '|echo Hello > hello.txt;' null:

А как создать SVG файл? Что-то не получается