您的位置：首页 >科技 >

ImageMagick多个高危漏洞安全风险通告报资讯

2023-02-05 14:00:29 来源：互联网

ImageMagick 是一款免费软件，以随时可用的二进制分发版或源代码形式提供，您可以在开放和专有应用程序中使用、复制、修改和分发。可以使用ImageMagick®创建、编辑、合成或转换数字图像。它可以读取和写入多种格式（超过 200 种）的图像。

近日，奇安信 CERT 监测到ImageMagick 信息泄露漏洞(CVE-2022-44267) 和拒绝服务漏洞(CVE-2022-44268)的技术细节及PoC在互联网上公开，远程攻击者可通过制作恶意的PNG文件并上传至受影响的使用ImageMagick 解析图片的网站来利用这两个漏洞，当网站或应用使用 ImageMagick 对恶意的 PNG 文件进行解析时将触发这两个漏洞，从而造成敏感信息泄露或拒绝服务。目前奇安信CERT已成功复现这两个漏洞。鉴于这些漏洞影响范围较大，建议客户尽快做好自查及防护。

(资料图)

漏洞名称	ImageMagick 信息泄露漏洞
公开时间	2023-02-03	更新时间	2023-02-03
CVE编号	CVE-2022-44268	其他编号	QVD-2023-3527
威胁类型	信息泄露	技术类型	数据验证不恰当
厂商	ImageMagick	产品	ImageMagick
风险等级
奇安信CERT风险评级		风险等级
高危		蓝色（一般事件）
现时威胁状态
POC状态	EXP状态	在野利用状态	技术细节状态
已发现	未发现	未发现	已公开
漏洞描述	ImageMagick 存在信息泄露漏洞，攻击者可通过制作特制的 PNG 文件来利用此漏洞，当网站或应用使用 ImageMagick 对攻击者上传的恶意 PNG 文件进行解析时将触发此漏洞，从而导致敏感信息泄露。远程攻击者可利用此漏洞读取 ImageMagick 进程有权限读取的系统文件。
影响版本	ImageMagick 7.1.x <= 7.1.0-51 ImageMagick 7.0.x ImageMagick 6.9.x 6.8.3-10 <= ImageMagick 6.8.x <= 6.8.9-10
不受影响版本	ImageMagick >= 7.1.0-52
其他受影响组件	无

漏洞名称	ImageMagick 拒绝服务漏洞
公开时间	2023-02-03	更新时间	2023-02-03
CVE编号	CVE-2022-44267	其他编号	QVD-2023-3526
威胁类型	拒绝服务	技术类型	数据验证不恰当
厂商	ImageMagick	产品	ImageMagick
风险等级
奇安信CERT风险评级		风险等级
高危		蓝色（一般事件）
现时威胁状态
POC状态	EXP状态	在野利用状态	技术细节状态
已发现	未发现	未发现	已公开
漏洞描述	ImageMagick 中存在拒绝服务漏洞，攻击者可通过精心制作的 PNG 文件，当网站或应用使用 ImageMagick 对攻击者上传的 PNG 文件进行解析时将触发此漏洞。最终可导致拒绝服务。
影响版本	ImageMagick 7.1.x <= 7.1.0-51 ImageMagick 7.0.x ImageMagick 6.9.x 6.8.3-10 <= ImageMagick 6.8.x <= 6.8.9-10
不受影响版本	ImageMagick >= 7.1.0-52
其他受影响组件	无

目前奇安信CERT已成功复现ImageMagick 信息泄露漏洞(CVE-2022-44267)和ImageMagick 拒绝服务漏洞(CVE-2022-44268)，截图如下：

ImageMagick 信息泄露漏洞(CVE-2022-44267)

ImageMagick 拒绝服务漏洞(CVE-2022-44268)

威胁评估

漏洞名称	ImageMagick 信息泄露漏洞
CVE编号	CVE-2022-44268	其他编号		QVD-2023-3527
CVSS 3.1评级	高危	CVSS 3.1分数		7.5
CVSS向量	访问途径（AV）		攻击复杂度（AC）
	网络		低
	所需权限（PR）		用户交互（UI）
	无		不需要
	影响范围（S）		机密性影响（C）
	不改变		高
	完整性影响（I）		可用性影响（A）
	无		无
危害描述	攻击者可通过制作特制的 PNG 文件来利用此漏洞，当网站或应用使用 ImageMagick 对攻击者上传的恶意 PNG 文件进行解析时将触发此漏洞，从而导致敏感信息泄露。远程攻击者可利用此漏洞读取 ImageMagick 进程有权限读取的系统文件。

漏洞名称	ImageMagick 拒绝服务漏洞
CVE编号	CVE-2022-44267	其他编号		QVD-2023-3526
CVSS 3.1评级	高危	CVSS 3.1分数		7.5
CVSS向量	访问途径（AV）		攻击复杂度（AC）
	网络		低
	所需权限（PR）		用户交互（UI）
	无		不需要
	影响范围（S）		机密性影响（C）
	不改变		无
	完整性影响（I）		可用性影响（A）
	无		高
危害描述	攻击者可通过精心制作的 PNG 文件，当网站或应用使用 ImageMagick 对攻击者上传的 PNG 文件进行解析时将触发此漏洞。最终可导致拒绝服务。

处置建议

目前官方已发布修复版本，建议受影响用户升级至ImageMagick >= 7.1.0-52 及以上版本进行漏洞修复。

https://imagemagick.org/script/download.php

https://github.com/ImageMagick/ImageMagick/releases

参考资料

[1]https://github.com/ImageMagick/ImageMagick/releases

[2]https://imagemagick.org/script/download.php

标签：拒绝服务技术细节影响范围

ImageMagick多个高危漏洞安全风险通告报资讯

相关阅读

ImageMagick多个高危漏洞安全风险通告报资讯

热点在线丨CSET专家分析：美国投资者对...

热讯：技术高管冒充黑客勒索公司导致市...

今日热文：Google Fi数据泄漏，黑客发...

2022年度阿里云勒索攻击态势报告：批量...

2022年公有云安全现状调查：“皇冠上的...

热点文章

ImageMagick多个高危漏洞安全风险通告 报资讯

相关阅读

热点文章

推荐文章

ImageMagick多个高危漏洞安全风险通告报资讯