漏洞描述：

据ImageMagick官方，目前程序存在一处远程命令执行漏洞（CVE-2016-3714），当其处理的上传图片带有攻击代码时，可远程实现远程命令执行，进而可能控制服务器，此漏洞被命名为ImageTragick。ImageMagick是一款开源图片处理库，支持PHP、Ruby、NodeJS和Python等多种语言，使用非常广泛。包括PHP imagick、Ruby rmagick和paperclip以及NodeJS imagemagick等多个图片处理插件都依赖它运行。可能的影响范围包括各类流行的内容管理系统（CMS）。

影响影响范围：

1、调用ImageMagick的库实现图片处理和渲染的应用。

ImageMagick 为多种语言提供了api，具体可参考http://www.imagemagick.org/script/api.php

2、很多流行的内容管理系统（CMS）使用了ImageMagick ，例如 Wordpress 的图片处理插件已被证实存在远程命令执行的漏洞（Author 及以上权限用户执行）。其他例如MediaWiki、phpBB和vBulletin 使用了ImageMagick 库生成缩略图，还有一些程序如LyX使用ImageMagick转换图片格式。以上应用可能受到此漏洞影响。

3、如果通过shell 中的convert 命令实现一些图片处理功能，也会受到此漏洞影响。

漏洞等级：

高危

漏洞验证方法：

若系统中安装使用了ImageMagick，本地执行如下命令：

convert 'https://example.com"|ls "-la' out.png

若ls -la 命令成功执行，说明存在漏洞。未执行ls 命令，并报错，说明不受影响。

修复建议（临时）：

1、由于远程命令执行时，命令代码是包含在图片中上传的，所以在图片上传时需要对图片内容进行检验。

2、Linux临时防护方案 ：编辑 /etc/ImageMagick/policy.xml ，在 之间增加以下几行

<policy domain="coder" rights="none" pattern="EPHEMERAL" />

<policy domain="coder" rights="none" pattern="URL" />

<policy domain="coder" rights="none" pattern="HTTPS" />

<policy domain="coder" rights="none" pattern="MVG" />

<policy domain="coder" rights="none" pattern="MSL" />

了解更多：

https://imagetragick.com/

【文章声明】

本站发布的【ImageMagick高危命令执行漏洞通告】内容（图片、视频和文字）以原创、转载和分享为主，文章观点不代表本网站立场

如果涉及侵权请尽快告知,我们将会在第一时间立刻删除涉嫌侵权内容，本站原创内容未经允许不得转载，或转载时需注明出处。