ImageMagick AppImage の脆弱性が FIX：PoC エクスプロイトも提供

ImageMagick AppImage Vulnerability Opens Door to Arbitrary Code Execution

2024/07/29 SecurityOnline — 幅広い業界で使用されているイメージ処理ライブラリ ImageMagick は、その AppImage バージョンで発見された脆弱性について、ユーザーにセキュリティ勧告を発している。この脆弱性の悪用に成功した攻撃者は、標的とするシステム上で任意のコード実行を可能にし、データ漏洩／システム侵害などの、悪意の行為を引き起こす可能性を得る。

この脆弱性は、ImageMagick の AppImage バージョンにおいて、設定ファイルや共有ライブラリに関連する、環境変数を設定する方法に起因する。AppRun スクリプトの欠陥により、これらの変数に空のパスが割り当てられ、現在の作業ディレクトリのソフトウェアにより、それらのファイルが検索される可能性が生じる。この欠陥を悪用する攻撃者は、カレント・ディレクトリに悪意の設定ファイルやライブラリを仕込むことが可能となり、それらが ImageMagick により読み込まれ実行される可能性が生じる。

この脆弱性の悪用に成功した攻撃者が、悪意の設定ファイルや共有ライブラリを、現在の作業ディレクトリに置くことに成功した場合には、影響を受けるシステム上で任意のコード実行にいたる可能性が生じる。自動化されたワークフローや Web サーバで ImageMagick が使用されるケースや、信頼できないファイルが処理される可能性のあるシナリオで ImageMagick が使用されるケースで、特に深刻なリスクが生じる。

この脆弱性は、セキュリティ研究者の Alan Li (lebr0nli) により報告され、この欠陥を利用した任意のコード実行を証明する、PoC エクスプロイト・コードも公開されている。

すでに ImageMagick は、この脆弱性に対処するパッチ 7.11-36 をリリースしており、直ちにアップデートするよう、ユーザーに強く求めている。すぐにアップデートするのが難しい場合は、信頼されていない環境や、内容を完全に制御できないディレクトリで、ImageMagick を実行しないようにすることで、リスクを軽減できる。

ImageMagick AppImage の脆弱性ですが、文中の PoC へのリンクをたどると、CVE-2024-41817 と明記されています。この記事と ImageMagick のアドバイザには、CVE が記されていませんが、この PoC における CVE 記述で間違いないのだろうと思います。よろしければ、ImageMagick で検索も、ご利用ください。