其他 大量网站易受 ImageMagick 漏洞影响

bindiry · 发布于 2016年05月04日 · 最后由 adamshen 回复于 2016年05月06日 · 2954 次阅读

被PHP、Ruby、NodeJS和Python等语言支持的一个广泛使用的图像处理库ImageMagick发现了多个漏洞,其中一个漏洞允许远程代码执行,攻击者上传内置恶意代码的图像,网站在处理时能被利用执行攻击者选择的代码。很多社交媒体和博客网站,以及内容管理系统,都直接或间接的依靠基于ImageMagick的图像处理,以调整用户上传图像的大小。ImageMagick维护者尚未释出修复漏洞的补丁,而是提供了一些权宜之计,他们建议网站管理员加入多行代码屏蔽部分可能的利用。

新闻来源: solidot

共收到 11 条回复

#2楼 @hooopo 赶紧默默的修改了 😄

5楼 已删除

这里是官方申明: https://www.imagemagick.org/discourse-server/viewtopic.php?t=29588

有临时解决方案: To prevent these possible exploits, simply add

<policy domain="coder" rights="none" pattern="EPHEMERAL" />
<policy domain="coder" rights="none" pattern="HTTPS" />
<policy domain="coder" rights="none" pattern="MVG" />
<policy domain="coder" rights="none" pattern="MSL" />
<policy domain="coder" rights="none" pattern="TEXT" />
<policy domain="coder" rights="none" pattern="SHOW" />
<policy domain="coder" rights="none" pattern="WIN" />
<policy domain="coder" rights="none" pattern="PLT" />

to your policy.xml file. For HTTPS, you can also remove support by deleting it from the delegates.xml configuration file.

注意现在 policy.xml 增加到 9 条。

友情提醒:关于ImageMagick的漏洞,设置了Policy.xml之后,要重启应用才能生效,我们用的Unicorn服务器,不重启的话是没效果的,还是可以执行命令,重启之后起效。

需要 登录 后方可回复, 如果你还没有账号请点击这里 注册