ImageMagick: The hidden vulnerability behind your online images

By Bryan Gonzalez from Ocelot Team Introduction ImageMagick is a free and open-source software suite for displaying, converting, and editing image files. It can read and write over 200 image file formats and, therefore, is very common to find it in websites worldwide since there is always a need to process pictures for users’ profiles, catalogs, etc. In a recent APT Simulation engagement, the Ocel

[shunkeen]

CVE-2022-44267はDoS攻撃が可能で、CVE-2022-44268は変換後の画像に、ImageMagickが読み取り可能な情報を埋め込んで盗める感じ？

[fai_fx]

GraphicsMagickで済ませられる時はなるべくGMで行うのが吉。

[asuka0801]

ImageMagickには今回の件以外でも元々定期的に大きめな脆弱性が発見されているので少なくともエンタープライズ向けでかつバイナリ交換が容易ではない形で使うべきではないと思ってる。

[tyage]

え、普通にやばそう/pngは許可してるシステムがほとんどだろうしなぁ