Die Bildbearbeitungssoftware ImageMagick liegt nicht nur vielen Linux-Distributionen bei, sie kommt auch auf Webservern zum Einsatz. Jetzt wurde eine dramatische Sicherheitslücke entdeckt. Ein Update von ImageMagick steht jedoch noch aus.
Angreifer müssen lediglich ein manipuliertes Bild hochladen, um auf dem Server Schadcode ausführen zu können. Konkret soll es gleich mehrere Probleme geben: Zum einen prüft ImageMagick nicht den Dateinamen. Dadurch können Angreifer Shell-Code im Dateinamen unterbringen, den dann ImageMagick unter Umständen startet. Darüber hinaus können einige Bildformate ebenfalls Code enthalten, den ImageMagick nicht genügend prüft. Abschließend untersucht die Bildbearbeitungssoftware das Dateiformat der Bilder unzureichend: Kann es das Format nicht eindeutig feststellen, versucht es die Datei in eine temporäre zu entpacken. Auch dies sollen Angreifer für ihre Zwecke ausnutzen können.
Betroffen von der Imagetragick getauften Sicherheitslücke sind auch Bibliotheken, die auf ImageMagick zurückgreifen, wie etwa imagick für PHP oder rmagick für Ruby.
Die ImageMagick-Entwickler arbeiten bereits an einem Update, das allerdings im Moment noch nicht zur Verfügung steht. Server-Betreiber können sich bis dahin mit Workarounds behelfen. Entdeckt haben die Fehler ein Sicherheitsforscher mit dem Pseudonym Stewie sowie Nikolay Ermishkin vom russischen E-Mail-Anbieter Mail.Ru.
Viele Webanwendungen nutzen ImageMagick um Bilder zu verkleinern, zu skalieren oder zu rotieren.
Das Update gibt es seit 3 Tagen. https://www.imagemagick.org… *seufz*