CVE-2016-3715
ImageMagick Arbitrary File Deletion Vulnerability
Beschreibung
CVE-2016-3715 ist eine Schwachstelle mittlerer Schwere zur beliebigen Dateilöschung in ImageMagick vor Version 6.9.3-10 und 7.x vor 7.0.1-1 mit einem CVSS 3.1-Score von 5.5. Die Schwachstelle ermöglicht Remote-Angreifern das Löschen beliebiger Dateien auf dem Server durch Ausnutzung des 'ephemeral'-Pseudo-Protokolls von ImageMagick, das Dateien nach dem Lesen löscht. Klassifiziert unter CWE-552 ist dieser Fehler Teil des breiteren "ImageTragick"-Schwachstellensets, das Webanwendungen betraf, die ImageMagick zur Bildverarbeitung nutzen. Der Angriff erfordert Benutzerinteraktion (Verarbeitung eines manipulierten Bildes), aber keine Privilegien. CISA hat CVE-2016-3715 am 3. November 2021 in den KEV-Katalog aufgenommen. Der EPSS-Score von 0.77733 (98.98. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| redhat | enterprise linux desktop | 6.0; 7.0 |
| redhat | enterprise linux eus | 6.7; 7.2; 7.3; 7.4; 7.5; 7.6; 7.7 |
| redhat | enterprise linux for ibm z systems | 6.0_s390x; 7.0_s390x |
| redhat | enterprise linux for ibm z systems eus | 6.7_s390x; 7.2_s390x; 7.3_s390x; 7.4_s390x; 7.5_s390x; 7.6_s390x; 7.7_s390x |
| redhat | enterprise linux for power big endian | 6.0_ppc64; 7.0_ppc64 |
| redhat | enterprise linux for power big endian eus | 6.7_ppc64; 7.2_ppc64; 7.3_ppc64; 7.4_ppc64; 7.5_ppc64; 7.6_ppc64; 7.7_ppc64 |
| redhat | enterprise linux for power little endian | 7.0_ppc64le |
| redhat | enterprise linux for power little endian eus | 7.2_ppc64le; 7.3_ppc64le; 7.4_ppc64le; 7.5_ppc64le; 7.6_ppc64le; 7.7_ppc64le |
| redhat | enterprise linux hpc node | 6.0; 7.0 |
| redhat | enterprise linux hpc node eus | 7.2 |
| redhat | enterprise linux server | 6.0; 7.0 |
| redhat | enterprise linux server aus | 7.2; 7.3; 7.4; 7.6; 7.7 |
| redhat | enterprise linux server from rhui | 6.0; 7.0 |
| redhat | enterprise linux server supplementary eus | 6.7z |
| redhat | enterprise linux server tus | 7.2; 7.3; 7.6; 7.7 |
| redhat | enterprise linux workstation | 6.0; 7.0 |
| imagemagick | imagemagick | < 6.9.3-10; 7.0.0-0; 7.0.1-0 |
| canonical | ubuntu linux | 12.04; 14.04; 15.10; 16.04 |
| oracle | linux | 6; 7 |
| oracle | solaris | 10; 11.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
Referenzen
- http://git.imagemagick.org/repos/ImageMagick/blob/a01518e08c840577cabd7d3ff291a9ba735f7276/ChangeLog(Broken Link, Patch)
- http://lists.opensuse.org/opensuse-security-announce/2016-05/msg00024.html(Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2016-05/msg00025.html(Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2016-05/msg00028.html(Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2016-05/msg00032.html(Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2016-05/msg00051.html(Third Party Advisory)
- http://rhn.redhat.com/errata/RHSA-2016-0726.html(Third Party Advisory)
- http://www.debian.org/security/2016/dsa-3580(Mailing List, Third Party Advisory)
- http://www.debian.org/security/2016/dsa-3746(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2016/05/03/18(Mailing List, Third Party Advisory)
- http://www.oracle.com/technetwork/topics/security/bulletinjul2016-3090568.html(Third Party Advisory)
- http://www.oracle.com/technetwork/topics/security/linuxbulletinapr2016-2952096.html(Third Party Advisory)
- http://www.securityfocus.com/archive/1/538378/100/0/threaded(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/89852(Broken Link, Third Party Advisory, VDB Entry)
- http://www.slackware.com/security/viewer.php?l=slackware-security&y=2016&m=slackware-security.440568(Mailing List, Third Party Advisory)
- http://www.ubuntu.com/usn/USN-2990-1(Third Party Advisory)
- https://security.gentoo.org/glsa/201611-21(Third Party Advisory)
- https://www.exploit-db.com/exploits/39767/(Exploit, Third Party Advisory, VDB Entry)
- https://www.imagemagick.org/discourse-server/viewtopic.php?f=4&t=29588(Exploit, Vendor Advisory)
- https://www.imagemagick.org/script/changelog.php(Release Notes)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2016-3715(US Government Resource)
Schwachstellentyp
CWE-552: Dateien oder Verzeichnisse für externe Parteien zugänglich
Dateien oder Verzeichnisse für externe Parteien zugänglich tritt auf, wenn ein Produkt Dateien oder Verzeichnisse für unbefugte Akteure zugänglich macht. Diese Schwäche ermöglicht Angreifern das Lesen, Ändern oder Löschen von Dateien, die nicht zugänglich sein sollten, was potenziell sensible Informationen exponiert oder den Systembetrieb stört.
Im Kontext von CVE-2016-3715 bietet das ephemeral-Pseudo-Protokoll von ImageMagick einen Mechanismus zum Lesen von Bilddateien und deren anschließender Löschung nach der Verarbeitung. Durch die Erstellung eines bösartigen Bildes, das das ephemeral-Protokoll mit einem Zieldateipfad referenziert, kann ein Angreifer ImageMagick dazu bringen, beliebige Dateien auf dem System zu löschen, wenn das bösartige Bild verarbeitet wird. Dies ist besonders gefährlich in Webanwendungen, die Benutzern das Hochladen von Bildern ermöglichen, die dann von ImageMagick auf dem Server verarbeitet werden, da die Dateilöschung mit den Privilegien des ImageMagick-Prozesses erfolgt.
Mehr erfahren: CWE-552 — Dateien oder Verzeichnisse für externe Parteien zugänglich
Auswirkungsanalyse
CVE-2016-3715 hat einen CVSS 3.1-Score von 5.5 (MITTEL) mit unverändertem Scope.
Vertraulichkeit (KEINE): Diese Schwachstelle exponiert nicht direkt vertrauliche Informationen. Das ephemeral-Protokoll löscht Dateien, anstatt deren Inhalte zu lesen und zu exfiltrieren.
Integrität (HOCH): Die primäre Auswirkung betrifft die Integrität. Angreifer können beliebige Dateien löschen, auf die der ImageMagick-Prozess zugreifen kann, einschließlich Anwendungscode, Konfigurationsdateien, Datenbankdateien, Logs und andere kritische Systemressourcen. Dies kann den Anwendungszustand beschädigen und den Betrieb stören.
Verfügbarkeit (KEINE): Obwohl Dateilöschung die Verfügbarkeit indirekt beeinträchtigen kann, indem kritische System- oder Anwendungsdateien entfernt werden, bewertet die CVSS-Bewertung die direkte Verfügbarkeitsauswirkung für diesen spezifischen Schwachstellenmechanismus als Keine.
Scope unverändert: Die Auswirkung ist auf den ImageMagick-Ausführungskontext beschränkt, obwohl dies alle Dateien umfassen kann, die dem Benutzer zugänglich sind, der ImageMagick ausführt.
Mit einem EPSS-Score von 0.77733 (98.98. Perzentil) gehört diese Schwachstelle zu den Top 1,02% aller CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CVE-2016-3715 hat bestätigte aktive Ausnutzung und ist im KEV-Katalog der CISA gelistet.
Exploit-Status: Diese Schwachstelle ist Teil des "ImageTragick"-Schwachstellensets, das im Mai 2016 offengelegt wurde und erhebliche Aufmerksamkeit und sofortige Ausnutzungsversuche erhielt. Öffentlicher Exploit-Code ist weitverbreitet über Exploit-DB und andere Quellen verfügbar. Der Exploit beinhaltet die Erstellung einer bösartigen Bilddatei, die das ephemeral-Pseudo-Protokoll aufruft, um bestimmte Dateien zur Löschung zu markieren.
Ransomware-Assoziation: Nach den aktuellen KEV-Daten wurde keine direkte Ransomware-Assoziation für CVE-2016-3715 bestätigt. Die Dateilöschungsfähigkeit könnte jedoch als destruktive Komponente in mehrstufigen Angriffen verwendet werden.
Angriffsfläche: ImageMagick ist eine der am weitesten verbreiteten Bildverarbeitungsbibliotheken, die von unzähligen Webanwendungen, Content-Management-Systemen und Cloud-Diensten für serverseitige Bildmanipulation verwendet wird. Jede Anwendung, die benutzerupgeloadete Bilder mit einer anfälligen ImageMagick-Version verarbeitet, ist potenziell gefährdet.
KEV-Frist: CISA verlangte von Bundesbehörden die Behebung bis zum 3. Mai 2022. Trotz der Offenlegung im Jahr 2016 bleiben viele Systeme aufgrund der Allgegenwart von ImageMagick in der Web-Infrastruktur ungepatcht.
Behebung
- ImageMagick auf Version 6.9.3-10 oder höher aktualisieren (oder 7.0.1-1+ für den 7.x-Branch). Laden Sie die neueste Version von der offiziellen ImageMagick-Website herunter oder wenden Sie die Sicherheitspatches Ihrer Distribution an. Konsultieren Sie das ImageMagick Changelog für Details.
- Eine ImageMagick-Policy-Datei implementieren, um gefährliche Coder zu deaktivieren. Erstellen oder modifizieren Sie die ImageMagick policy.xml-Datei, um die Coder ephemeral, URL, MVG, MSL und HTTPS zu deaktivieren. Dies bietet Defense-in-Depth gegen die gesamte ImageTragick-Schwachstellenklasse.
- Alle hochgeladenen Bilddateien vor der Verarbeitung validieren. Verifizieren Sie, dass hochgeladene Dateien echte Bilder sind, indem Sie Magic-Byte-Erkennung verwenden anstatt sich auf Dateierweiterungen zu verlassen. Lehnen Sie Dateien mit unerwartetem Inhalt oder eingebetteten Delegate-Referenzen ab.
- ImageMagick in einer Sandbox-Umgebung ausführen. Verarbeiten Sie Bilder in isolierten Containern oder Sandbox-Umgebungen mit minimalem Dateisystemzugriff. Beschränken Sie den ImageMagick-Prozess auf die Verzeichnisse, die er zum Lesen und Schreiben benötigt.
- Webanwendungen auf ImageMagick-Nutzung prüfen. Identifizieren Sie alle Webanwendungen und Dienste in Ihrer Umgebung, die ImageMagick zur Bildverarbeitung verwenden. Priorisieren Sie das Patchen für internetfacing-Anwendungen, die benutzerupgeloadeten Inhalt verarbeiten.
- Alternative Bildverarbeitungsbibliotheken in Betracht ziehen. Evaluieren Sie für neue Entwicklungen, ob leichtgewichtigere und sicherere Alternativen wie libvips oder Pillow Ihre Bildverarbeitungsanforderungen ohne die breitere Angriffsfläche von ImageMagick erfüllen können.
Technische Details
CVE-2016-3715 ist eine Schwachstelle mittlerer Schwere in ImageMagick, die Benutzerinteraktion zur Ausnutzung erfordert. Der Angriffsvektor ist lokal (der Angreifer muss eine bösartige Bilddatei zur Verarbeitung bereitstellen), die Angriffskomplexität ist niedrig, keine Privilegien sind erforderlich, und Benutzerinteraktion ist erforderlich (jemand muss das manipulierte Bild verarbeiten).
Technischer Mechanismus: ImageMagick unterstützt verschiedene Pseudo-Protokolle (auch Coder genannt), die seine Funktionalität über die einfache Bilddateiverarbeitung hinaus erweitern. Das ephemeral-Pseudo-Protokoll ist darauf ausgelegt, eine Bilddatei zu lesen und sie anschließend zu löschen. Durch die Erstellung einer bösartigen Bilddatei (wie einer MVG- oder SVG-Datei), die eine Referenz auf das ephemeral-Protokoll mit einem beliebigen Dateipfad enthält, kann ein Angreifer ImageMagick dazu bringen, jede für den Prozess zugängliche Datei zu löschen, wenn das Bild verarbeitet wird. Beispielsweise könnte ein manipuliertes Bild eine Referenz wie "ephemeral:/etc/important-config" enthalten, die ImageMagick veranlasst, diese Datei zu löschen.
CVSS 3.1-Vektoranalyse: Der Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N reflektiert einen lokalen Angriffsvektor, der Benutzerinteraktion erfordert (Verarbeitung des bösartigen Bildes) ohne Privilegienanforderungen. Die Auswirkung konzentriert sich vollständig auf die Integrität (HOCH), da die Schwachstelle Dateilöschung ermöglicht. Vertraulichkeit und Verfügbarkeit werden als Keine bewertet.
Häufig gestellte Fragen
Wird CVE-2016-3715 aktiv ausgenutzt?
Ja, CVE-2016-3715 ist Teil des ImageTragick-Schwachstellensets und wird seit seiner Offenlegung im Mai 2016 aktiv ausgenutzt. Sie ist im KEV-Katalog der CISA gelistet. Der EPSS-Score von 0.77733 (98.98. Perzentil) bestätigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Öffentliche Exploits sind weitverbreitet verfügbar.
Welche Produkte sind von CVE-2016-3715 betroffen?
ImageMagick-Versionen vor 6.9.3-10 und 7.x-Versionen vor 7.0.1-1 sind betroffen. Dies betrifft auch nachgelagerte Distributionen einschließlich Red Hat Enterprise Linux 6 und 7, Ubuntu 12.04 bis 16.04, Oracle Linux, Oracle Solaris und jede Anwendung oder jeden Dienst, der ImageMagick bündelt.
Wie behebe ich CVE-2016-3715?
Aktualisieren Sie ImageMagick auf Version 6.9.3-10 oder höher (7.0.1-1+ für den 7.x-Branch). Implementieren Sie zusätzlich eine restriktive policy.xml-Datei, um gefährliche Pseudo-Protokolle einschließlich ephemeral, URL, MVG und MSL Coder zu deaktivieren. Validieren Sie hochgeladene Bilder vor der Verarbeitung und erwägen Sie, ImageMagick in einer Sandbox-Umgebung auszuführen.
Wie schwerwiegend ist CVE-2016-3715?
CVE-2016-3715 wird als MITTEL mit einem CVSS 3.1-Score von 5.5 eingestuft. Obwohl die Basis-Schwere moderat ist, ist das praktische Risiko erhöht, da ImageMagick in Webanwendungen weit verbreitet ist, öffentliche Exploits verfügbar sind und die Schwachstelle das Löschen beliebiger Dateien auf dem Server ermöglicht, was kritische Dienste stören kann.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.