Уязвимости библиотеки ImageMagick угрожают миллионам сайтов

Используемый миллионами веб-сайтов инструмент обработки изображений содержал в себе ряд критических уязвимостей, способных дать хакерам доступ к веб-серверам. Эксплоиты для этих уязвимостей уже созданы, в отличие от патчей. Обнаружил уязвимости Николая Ермишкин из команды безопасности Mail.Ru, об их существовании уже были поставлены в известность разработчики ImageMagick, попытавшиеся выпустить патч в версии 6.9.3-9 30 апреля. Патч оказался неполным и уязвимости по-прежнему существуют.

Есть сведения о том, что кроме исследователей и разработчиков из ImageMagick о существовании уязвимостей известно и другим людям. Уязвимости можно задействовать для загрузки вредоносных изображений на использующие ImageMagick сайты. Далее становится возможным удалённое выполнение кода, распространение вредоносного ПО, кража данных пользователей и взлом доменов.

ImageMagick представляет собой утилиту командной строки для создания, редактирования и конвертации файлов изображений во множестве форматов. Её библиотека служит базой для плагинов вроде PHP imagick, Ruby rmagick и papercli, Node.js imagemagick. Исследователи в качестве доказательства разработали собственный эксплоит.

Набор уязвимостей получил название ImageTragick, был создан сайт с советами для разработчиков и администраторов сайтов, которым необходимо следовать, пока не появится патч.