رفع آسیب‌پذیری امنیتی ImageMagick (ImageTragick) در سرور

آسیب‌پذیری ImageMagick

ImageMagick کتابخانه پردازش تصویر محبوب در سرورهای لینوکسی است. آسیب‌پذیری ImageTragick (CVE-2016-3714) و آسیب‌پذیری‌های مشابه امکان اجرای کد از راه دور را فراهم می‌کنند.

خطر

مهاجم با آپلود تصویر مخرب (SVG، MVG) می‌تواند دستورات سیستمی روی سرور اجرا کند.

رفع

روش ۱: آپدیت ImageMagick

yum update ImageMagick
# یا
apt update && apt upgrade imagemagick

روش ۲: محدود کردن policy.xml

فایل /etc/ImageMagick-6/policy.xml یا /etc/ImageMagick/policy.xml:

<policymap>
  <policy domain="coder" rights="none" pattern="EPHEMERAL" />
  <policy domain="coder" rights="none" pattern="URL" />
  <policy domain="coder" rights="none" pattern="HTTPS" />
  <policy domain="coder" rights="none" pattern="HTTP" />
  <policy domain="coder" rights="none" pattern="MVG" />
  <policy domain="coder" rights="none" pattern="MSL" />
  <policy domain="coder" rights="none" pattern="TEXT" />
  <policy domain="coder" rights="none" pattern="LABEL" />
</policymap>

روش ۳: غیرفعال کردن کامل (اگر لازم نیست)

yum remove ImageMagick

روش ۴: استفاده از جایگزین

GD Library جایگزین سبک‌تر و امن‌تر برای PHP. در وردپرس از GD به جای ImageMagick استفاده کنید.

بررسی نسخه

convert --version
identify --version

نسخه 6.9.10-68+ و 7.0.8-68+ آسیب‌پذیری‌های اصلی رفع شده.

کانفیگ سرور شامل hardening و رفع آسیب‌پذیری‌ها. هاست وردپرس با ImageMagick امن.