<![CDATA[Linux Forum — Уязвимость в ImageMagick, позволившая получить доступ к чужим вложениям в почте Yahoo]]>2017-05-23T05:17:17ZPunBBhttps://linuxforum.ru/viewtopic.php?id=39114<![CDATA[Уязвимость в ImageMagick, позволившая получить доступ к чужим вложениям в почте Yahoo]]> Крис Эванс (Chris Evans), известный эксперт по компьютерной безопасности и автор защищенного FTP-сервера vsftpd, опубликовал сведения о новой уязвимости (CVE-2017-9098, кодовое имя "Yahoobleed1") в пакете ImageMagick, который часто используется web-разработчиками для преобразования изображений. Примечательно, что в GraphicsMagick, форке ImageMagick, уязвимость была устранена ещё в марте 2016 года, но из-за отсутствия скоординированных действий по устранению уязвимостей в обоих проектах, проблема осталась неисправленной в ImageMagick. Проблема присутствует в декодировщике RLE, который использует не инициализированные блоки памяти, что позволяет атакующему получить доступ к информации, оставшейся от других обработчиков в данном процессе. Наиболее интересным моментом стала разработка практического метода атаки на основе данной проблемы. Крис Эванс показал, что уязвимость можно использовать для атаки на сервис Yahoo Mail для получения доступа к вложениям чужих писем через отправку письма со специально оформленной картинкой во вложении. При организации предпросмотра вложений Yahoo применяет постоянно запущенный обработчик, который использует ImageMagick для обработки изображений, что позволяет через эксплуатацию рассматриваемой уязвимости получить доступ к данным, оставшимся от обработки вложений других пользователей. В частности, Крис отправил себе письмо со специально оформленным 18-байтовым изображением, для предпросмотра которого через web-интерфейс было сформировано JPEG-изображение 1024x1024, состоящее из данных, остающихся в памяти после обработки вложений других пользователей. Проблема устранена в ImageMagick 7.0.5-2 и GraphicsMagick 1.3.24. Обновления в дистрибутивах ещё не выпущены, проследить за их появлением можно на данных страницах: Debian, SUSE/openSUSE, RHEL, Fedora, Ubuntu, FreeBSD. Следует отметить, что проблема представляет опасность только в длительно работающих процессах, циклично обрабатывающих запросы. Кроме того, Крис Эванс разработал ещё одну технику атаки на Yahoo Mail, назвав её "Yahoobleed2". Атака основана на уязвимости, исправленной ещё в январе 2015 года, но оставшейся неустранённой в варианте пакета ImageMagick, применяемом в Yahoo. Атака также выполняется через предпросмотр специально оформленного вложения и позволяет получить содержимое браузерных cookies, токенов аутентификации и частей изображений других пользователей Yahoo Mail. Компания Yahoo выплатила исследователю вознаграждение в размере 28 тысяч долларов (две премии по 14 тысяч) и приняла решение прекратить использование пакета ImageMagick в своих службах. Источник: http://www.opennet.ru/opennews/art.shtml?num=46584