&1 漏洞详情: 魔图组件中delegate对用户输入过滤不充分导致存在命令注入漏洞,攻击者可以利用此漏洞进行远程代码执行 修复方案: 第一种(Cen……" /> &1 漏洞详情: 魔图组件中delegate对用户输入过滤不充分导致存在命令注入漏洞,攻击者可以利用此漏洞进行远程代码执行 修复方案: 第一种(Cen……" />

天行健,君子以自强不息;地势坤,君子以厚德载物;

ImageMagick漏洞检测

检测方式:

convert 'https://xxx";cat /etc/passwd "' out.png 2>&1

漏洞详情:

魔图组件中delegate对用户输入过滤不充分导致存在命令注入漏洞,攻击者可以利用此漏洞进行远程代码执行

修复方案:

第一种(CentOS 5必须采用):

升级ImageMagick库版本至最新版(CentOS 5 及以下系统务必采用最新版源码编译安装)
1.修改delegates.xml,将<delegate decode=”https” command='”wget” -q -O “%o” “https:%M”‘ /> 修改为:<delegate decode=”https” command=”/bin/false” />
2.重启服务

第二种(仅适用于CentOS 6 及以上操作系统):

1.在ImageMagick的policy.xml文件<policymap>项增加内容
<policymap>
...
<policy domain="coder" rights="none" pattern="EPHEMERAL" />
<policy domain="coder" rights="none" pattern="HTTPS" />
<policy domain="coder" rights="none" pattern="HTTP" />
<policy domain="coder" rights="none" pattern="URL" />
<policy domain="coder" rights="none" pattern="FTP" />
<policy domain="coder" rights="none" pattern="MVG" />
<policy domain="coder" rights="none" pattern="MSL" />
<policy domain="path" rights="none" pattern="@*" />
<policy domain="path" rights="none" pattern="|*" />
</policymap> 
2.重启服务

点赞

发表评论