ImageMagick Security
Sprawdź dalsze szczegóły na stronie https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html
ImageMagick, wszechstronna biblioteka do przetwarzania obrazów, stanowi wyzwanie w konfiguracji swojej polityki bezpieczeństwa ze względu na swoje rozległe opcje i brak szczegółowej dokumentacji online. Użytkownicy często tworzą polityki oparte na fragmentarycznych źródłach internetowych, co prowadzi do potencjalnych błędów konfiguracyjnych. Biblioteka obsługuje szeroki zakres ponad 100 formatów obrazów, co przyczynia się do jej złożoności i profilu podatności, jak pokazują historyczne incydenty związane z bezpieczeństwem.
W kierunku bezpieczniejszych polityk
Aby poradzić sobie z tymi wyzwaniami, zostało opracowane narzędzie, które pomaga w projektowaniu i audycie polityk bezpieczeństwa ImageMagick. Narzędzie to opiera się na obszernej analizie i ma na celu zapewnienie, że polityki są nie tylko solidne, ale także wolne od luk, które mogłyby zostać wykorzystane.
Podejście na podstawie listy dozwolonych vs listy zabronionych
Historycznie polityki ImageMagick polegały na podejściu opartym na liście zabronionych, gdzie określonym kodom było odmawiane dostępu. Jednak zmiany w ImageMagick 6.9.7-7 zmieniły ten paradygmat, umożliwiając podejście oparte na liście dozwolonych. To podejście najpierw odmawia dostępu wszystkim kodom, a następnie selektywnie udziela dostępu zaufanym, poprawiając postawę bezpieczeństwa.
Wrażliwość na wielkość liter w politykach
Należy zauważyć, że wzorce polityk w ImageMagick są wrażliwe na wielkość liter. Dlatego ważne jest, aby upewnić się, że kodery i moduły są poprawnie zapisane wielkimi literami w politykach, aby zapobiec niezamierzonym uprawnieniom.
Limity zasobów
ImageMagick jest podatny na ataki typu odmowa usługi, jeśli nie jest odpowiednio skonfigurowany. Ustalenie jasnych limitów zasobów w politykach jest niezbędne, aby zapobiec takim podatnościom.
Fragmentacja polityk
Polityki mogą być rozproszone w różnych instalacjach ImageMagick, co może prowadzić do potencjalnych konfliktów lub nadpisywania. Zaleca się zlokalizowanie i zweryfikowanie aktywnych plików polityk za pomocą poleceń, takich jak:
Szablon polityki o ograniczonym dostępie
Zaproponowano szablon polityki o ograniczonym dostępie, skupiający się na rygorystycznych ograniczeniach zasobów i kontroli dostępu. Ten szablon służy jako podstawa do opracowania spersonalizowanych polityk, które są zgodne z konkretnymi wymaganiami aplikacji.
Skuteczność polityki bezpieczeństwa można potwierdzić za pomocą polecenia identify -list policy w ImageMagick. Dodatkowo, wcześniej wspomniane narzędzie evaluator można użyć do dopracowania polityki na podstawie indywidualnych potrzeb.
Odnośniki
Last updated