Las vulnerabilidades de ImageMagick podrían permitir DoS y fugas de información

104

Los investigadores descubrieron dos vulnerabilidades de seguridad en la herramienta ImageMagick que podrían desencadenar ataques de denegación de servicio o fugas de datos. Los proveedores corrigieron errores a tiempo, impidiendo la explotación activa. Los usuarios deben actualizar a las últimas versiones parcheadas para evitar incidentes.

Varias vulnerabilidades detectadas en la herramienta ImageMagick

Según un artículo reciente de la empresa de ciberseguridad Metabase Q, sus investigadores descubrieron dos problemas de seguridad en la herramienta gráfica ImageMagick.

ImageMagick es un software de código abierto para convertir, diseñar y editar imágenes. Dada su disponibilidad gratuita y soporte para una gran cantidad de formatos de archivo (más de 200), ImageMagick es una herramienta popular entre los diseñadores gráficos y desarrolladores web, especialmente aquellos que trabajan con aplicaciones de código abierto.

Específicamente, los investigadores descubrieron las siguientes dos vulnerabilidades que afectan a ImageMagick.

• CVE-2022-44267: una vulnerabilidad de denegación de servicio (DoS) que afectó la función de conversión de imágenes al analizar archivos PNG. Según los investigadores, el análisis de archivos .png podría «dejar el proceso de conversión esperando la entrada de la entrada estándar».
• CVE-2022-44268: una vulnerabilidad de divulgación de información que podría filtrar datos de archivos remotos arbitrarios al analizar imágenes PNG en la imagen resultante.

Explotar ambas vulnerabilidades simplemente requería que un atacante cargara un archivo de imagen PNG malicioso en el sitio web de destino usando ImageMagick. Los investigadores compartieron un análisis técnico detallado de las dos vulnerabilidades en su artículo.

Los vendedores han corregido los defectos.

El equipo de Ocelot en Metabase Q descubrió estas imágenes mientras analizaba la última versión de ImageMagick 7.1.0-49. Después de este descubrimiento, informaron rápidamente el problema a los desarrolladores de ImageMagick.

Por lo tanto, los desarrolladores de la aplicación trabajaron para corregir las vulnerabilidades y finalmente publicaron las correcciones con la siguiente versión de la aplicación.

Su sitio ahora incluye la versión 7.1.0-60 de ImageMagick como la última versión. Por lo tanto, para asegurarse de recibir todas las actualizaciones de funciones y correcciones de errores, los usuarios deben actualizar sus sitios web y sistemas a esta versión lo antes posible.

Háganos saber sus pensamientos en los comentarios.

Fuente