CVE-2016-3714

HIGH(8.4)KEVWahrscheinlich ausgenutzt

ImageMagick Improper Input Validation Vulnerability

Beschreibung

CVE-2016-3714, bekannt als "ImageTragick", ist eine kritische Remote Code Execution-Schwachstelle in ImageMagick, einer weit verbreiteten Open-Source-Bildverarbeitungsbibliothek. Die Schwachstelle ermöglicht es Angreifern, über speziell präparierte Bilddateien beliebige Shell-Befehle auf dem Zielsystem auszuführen. Mit einem CVSS-Score von 8.4 (HIGH) und einem EPSS-Score von 0.93749 (99.8. Perzentil) gehört sie zu den am häufigsten ausgenutzten Schwachstellen. Betroffen sind ImageMagick-Versionen vor 6.9.3-10 und 7.x vor 7.0.1-1.

KEV-Informationen

Hersteller
ImageMagick
Produkt
ImageMagick
Hinzugefügt am
9. September 2024
Fälligkeitsdatum
30. September 2024
Erforderliche Maßnahme
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

CVSS-Score

Vektorstring
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnen
Angriffsvektor
LOCAL
Angriffskomplexität
LOW
Erforderliche Privilegien
NONE
Benutzerinteraktion
NONE
Scope
UNCHANGED
Vertraulichkeitsauswirkung
HIGH
Integritätsauswirkung
HIGH
Verfügbarkeitsauswirkung
HIGH
Ausnutzbarkeitsscore
2.5
Auswirkungsscore
5.9

CWEs

CWE-20Input Validation

Improper Input Validation

Betroffene Produkte

HerstellerProduktVersion
imagemagickimagemagick<= 6.9.3-9; 7.0.0-0; 7.0.1-0
canonicalubuntu linux12.04; 14.04; 15.10; 16.04
debiandebian linux8.0; 9.0
opensuseleap42.1
opensuseopensuse13.2
susesuse linux enterprise server12

Mehrere CVSS-Bewertungen

Quelle: [email protected](Primary)
8.4
HIGH

CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0(Secondary)
8.4
HIGH

CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Referenzen

Schwachstellentyp

Für CVE-2016-3714 wurde kein spezifischer CWE-Typ zugewiesen. Die Schwachstelle basiert auf einer unzureichenden Eingabevalidierung in den Coder-Modulen von ImageMagick, die effektiv zu einer OS Command Injection führt. Mehrere ImageMagick-Coder, darunter EPHEMERAL, HTTPS, MVG, MSL, TEXT, SHOW, WIN und PLT, verarbeiten Dateinamens- und URL-Parameter ohne ausreichende Bereinigung von Shell-Metazeichen. Ein Angreifer kann speziell konstruierte Bilddateien erstellen, die Shell-Befehle in Dateinamen oder URLs einbetten. Wenn ImageMagick diese Dateien verarbeitet, werden die eingebetteten Befehle an die System-Shell weitergeleitet und mit den Privilegien des ImageMagick-Prozesses ausgeführt.

Auswirkungsanalyse

Die Auswirkungen von CVE-2016-3714 sind aufgrund der weiten Verbreitung von ImageMagick außerordentlich weitreichend. Vertraulichkeit: Ein Angreifer kann beliebige Dateien vom Server lesen und sensitive Daten exfiltrieren, einschließlich Konfigurationsdateien, Datenbank-Credentials und Quellcode. Integrität: Durch Remote Code Execution können Webshells installiert, Dateien manipuliert und Backdoors eingerichtet werden. Verfügbarkeit: Der Angreifer kann den Server vollständig kontrollieren oder lahmlegen. Der EPSS-Score von 0.93749 (99.8. Perzentil) platziert diese Schwachstelle unter den am wahrscheinlichsten ausgenutzten weltweit. ImageMagick wird von unzähligen Webanwendungen, Content-Management-Systemen und Cloud-Diensten zur Bildverarbeitung eingesetzt, darunter PHP-Anwendungen mit Imagick-Extension, Ruby on Rails mit Paperclip/CarrierWave und Node.js-Anwendungen. Jede Anwendung, die Benutzer-Uploads mit ImageMagick verarbeitet, ist potenziell betroffen. Der Ransomware-Status ist als "Unknown" eingestuft, jedoch bietet die Remote Code Execution-Fähigkeit einen direkten Weg zur Systemkompromittierung.

Exploit-Reifegrad

CVE-2016-3714 wird seit 2016 aktiv ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 30. September 2024. Der EPSS-Score von 0.93749 liegt im 99.8. Perzentil und bestätigt die extrem hohe Ausnutzungsrate. Unter dem Namen "ImageTragick" wurden auf der dedizierten Website detaillierte Informationen und Proof-of-Concept-Exploits veröffentlicht. Mehrere öffentliche Exploits sind verfügbar, darunter Einträge in der Exploit-DB und ein Metasploit-Modul. Die breite Verfügbarkeit von Exploit-Code und die einfache Ausnutzung durch Hochladen einer manipulierten Bilddatei machen diese Schwachstelle besonders gefährlich. Der Ransomware-Status ist als "Unknown" klassifiziert, jedoch wird die Schwachstelle regelmäßig in automatisierten Angriffen und Botnet-Kampagnen eingesetzt.

Behebung

  1. ImageMagick sofort aktualisieren: Aktualisieren Sie ImageMagick auf Version 6.9.3-10 oder höher (6.x-Zweig) bzw. 7.0.1-1 oder höher (7.x-Zweig). Auf Debian/Ubuntu: apt-get update && apt-get upgrade imagemagick. Auf Red Hat/CentOS: yum update ImageMagick. Prüfen Sie die installierte Version mit convert -version.

  2. Policy.xml konfigurieren: Erstellen oder aktualisieren Sie die ImageMagick-Policy-Datei (typischerweise /etc/ImageMagick-6/policy.xml oder /etc/ImageMagick-7/policy.xml), um die verwundbaren Coder zu deaktivieren. Blockieren Sie mindestens die Coder EPHEMERAL, URL, HTTPS, MVG, MSL, TEXT, SHOW, WIN und PLT mit deny-Regeln.

  3. Eingabevalidierung implementieren: Validieren Sie alle Bilddateien vor der Verarbeitung mit ImageMagick. Prüfen Sie Magic Bytes (Datei-Header) und nicht nur Dateierweiterungen. Verarbeiten Sie nur explizit erlaubte Bildformate wie JPEG, PNG, GIF und WebP.

  4. ImageMagick-Prozesse isolieren: Führen Sie ImageMagick-Verarbeitungen in einer Sandbox-Umgebung aus, beispielsweise in Docker-Containern mit eingeschränkten Berechtigungen und ohne Netzwerkzugriff. Beschränken Sie die Dateisystemrechte des ImageMagick-Prozesses auf das absolute Minimum.

  5. Alternative Bibliotheken evaluieren: Prüfen Sie, ob für Ihre Bildverarbeitungsanforderungen sicherere Alternativen wie libvips, Pillow (Python) oder Sharp (Node.js) eingesetzt werden können. Diese Bibliotheken haben eine kleinere Angriffsfläche als ImageMagick.

Technische Details

Der CVSS v3.1-Vektor für CVE-2016-3714 lautet CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H mit einem Score von 8.4 (HIGH). Angriffsvektor (AV:L): Obwohl als "Local" klassifiziert, erfolgt der typische Angriff remote über Datei-Uploads, die lokal von ImageMagick verarbeitet werden. Angriffskomplexität (AC:L): Die Ausnutzung ist unkompliziert und erfordert nur eine präparierte Bilddatei. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung notwendig, da Bildverarbeitung oft für anonyme Uploads verfügbar ist. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion erforderlich. Scope (S:U): Die Auswirkungen beschränken sich auf die betroffene Komponente. Auswirkungen (C:H/I:H/A:H): Vertraulichkeit, Integrität und Verfügbarkeit sind vollständig betroffen. Der technische Angriffsmechanismus nutzt ImageMagick-Coder, die externe Programme aufrufen. Ein Angreifer erstellt eine Bilddatei (z.B. im MVG-Format) mit eingebetteten Shell-Metazeichen. Beispielsweise kann eine MVG-Datei eine URL wie "https://example.com/image.jpg|ls -la" enthalten. Wenn ImageMagick die Datei verarbeitet, übergibt der HTTPS-Coder die URL an curl oder wget, wobei die Shell-Metazeichen interpretiert werden. Ähnliche Angriffe sind über die Delegate-Konfiguration möglich, die externe Programme für bestimmte Dateiformate aufruft. Der Name "ImageTragick" wurde aufgrund der verheerenden Auswirkungen und der weiten Verbreitung der Schwachstelle gewählt.

Häufig gestellte Fragen

Was ist CVE-2016-3714 (ImageTragick)?

CVE-2016-3714, bekannt als "ImageTragick", ist eine kritische Schwachstelle in ImageMagick, die es ermöglicht, über manipulierte Bilddateien beliebige Befehle auf dem Server auszuführen. Die Schwachstelle betrifft mehrere Coder-Module und wurde 2016 entdeckt. Sie wird aufgrund der weiten Verbreitung von ImageMagick in Webanwendungen als besonders gefährlich eingestuft.

Bin ich betroffen, wenn meine Anwendung ImageMagick nutzt?

Wenn Ihre Anwendung ImageMagick-Versionen vor 6.9.3-10 (6.x) oder vor 7.0.1-1 (7.x) einsetzt und Bilddateien aus nicht vertrauenswürdigen Quellen verarbeitet, sind Sie betroffen. Dies gilt auch für PHP-Anwendungen mit der Imagick-Extension, Ruby on Rails-Anwendungen mit Paperclip oder CarrierWave sowie Node.js-Anwendungen, die ImageMagick aufrufen.

Reicht ein Update von ImageMagick aus?

Ein Update ist der wichtigste Schritt, sollte aber mit zusätzlichen Maßnahmen kombiniert werden. Konfigurieren Sie die policy.xml, um nicht benötigte Coder zu deaktivieren, implementieren Sie Eingabevalidierung für Uploads und führen Sie ImageMagick-Prozesse in einer isolierten Umgebung aus.

Warum ist eine Schwachstelle von 2016 noch relevant?

Obwohl der Patch seit 2016 verfügbar ist, wird ImageMagick in vielen Anwendungen als Systemabhängigkeit eingesetzt und nicht immer aktualisiert. Der EPSS-Score von 0.93749 bestätigt, dass die Schwachstelle weiterhin eine der am häufigsten ausgenutzten ist. Viele ältere Server und Container-Images verwenden noch verwundbare Versionen.

CVSS-Score

8.4
HIGH(8.4)

EPSS-Score

EPSS-Score97.48%
EPSS-Perzentil99.9%

Daten

Veröffentlicht5. Mai 2016
Zuletzt geändert17. Juni 2026
StatusAnalyzed
CVSS-Versionv3.1

Quick Links

Zurück zur CVE-Datenbank

Hilfe beim Schwachstellenmanagement?

Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.

Kontakt aufnehmen