CVE-2016-3718
ImageMagick Server-Side Request Forgery (SSRF) Vulnerability
Beschreibung
CVE-2016-3718 ist eine Server-Side-Request-Forgery-(SSRF)-Schwachstelle mittlerer Schwere in ImageMagick vor Version 6.9.3-10 und 7.x vor 7.0.1-1 mit einem CVSS 3.1-Score von 5.5. Die Schwachstelle ermöglicht Remote-Angreifern SSRF-Angriffe über manipulierte Bilder, die die HTTP- oder FTP-Coder auslösen und Anfragen an beliebige Server vom ImageMagick-Prozess initiieren. Klassifiziert unter CWE-918 ist dieser Fehler Teil des "ImageTragick"-Schwachstellensets. Der Angriff erfordert Benutzerinteraktion (Verarbeitung eines manipulierten Bildes), aber keine Privilegien. CISA hat CVE-2016-3718 am 3. November 2021 in den KEV-Katalog aufgenommen. Der EPSS-Score von 0.83834 (99.28. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| redhat | enterprise linux desktop | 6.0; 7.0 |
| redhat | enterprise linux eus | 6.7; 7.2; 7.3; 7.4; 7.5; 7.6; 7.7 |
| redhat | enterprise linux for ibm z systems | 6.0_s390x; 7.0_s390x |
| redhat | enterprise linux for ibm z systems eus | 6.7_s390x; 7.2_s390x; 7.3_s390x; 7.4_s390x; 7.5_s390x; 7.6_s390x; 7.7_s390x |
| redhat | enterprise linux for power big endian | 6.0_ppc64; 7.0_ppc64 |
| redhat | enterprise linux for power big endian eus | 6.7_ppc64; 7.2_ppc64; 7.3_ppc64; 7.4_ppc64; 7.5_ppc64; 7.6_ppc64; 7.7_ppc64 |
| redhat | enterprise linux for power little endian | 7.0_ppc64le |
| redhat | enterprise linux for power little endian eus | 7.2_ppc64le; 7.3_ppc64le; 7.4_ppc64le; 7.5_ppc64le; 7.6_ppc64le; 7.7_ppc64le |
| redhat | enterprise linux hpc node | 6.0; 7.0 |
| redhat | enterprise linux hpc node eus | 7.2 |
| redhat | enterprise linux server | 6.0; 7.0 |
| redhat | enterprise linux server aus | 7.2; 7.3; 7.4; 7.6; 7.7 |
| redhat | enterprise linux server from rhui | 6.0; 7.0 |
| redhat | enterprise linux server supplementary eus | 6.7z |
| redhat | enterprise linux server tus | 7.2; 7.3; 7.6; 7.7 |
| redhat | enterprise linux workstation | 6.0; 7.0 |
| imagemagick | imagemagick | < 6.9.3-10; 7.0.0-0; 7.0.1-0 |
| canonical | ubuntu linux | 12.04; 14.04; 15.10; 16.04 |
| oracle | linux | 6; 7 |
| oracle | solaris | 10; 11.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
Referenzen
- http://git.imagemagick.org/repos/ImageMagick/blob/a01518e08c840577cabd7d3ff291a9ba735f7276/ChangeLog(Patch, Vendor Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2016-05/msg00024.html(Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2016-05/msg00025.html(Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2016-05/msg00028.html(Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2016-05/msg00032.html(Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2016-05/msg00051.html(Third Party Advisory)
- http://rhn.redhat.com/errata/RHSA-2016-0726.html(Third Party Advisory)
- http://www.debian.org/security/2016/dsa-3580(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2016/05/03/18(Mailing List, Third Party Advisory)
- http://www.oracle.com/technetwork/topics/security/bulletinjul2016-3090568.html(Third Party Advisory)
- http://www.oracle.com/technetwork/topics/security/linuxbulletinapr2016-2952096.html(Third Party Advisory)
- http://www.securityfocus.com/archive/1/538378/100/0/threaded(Broken Link, Third Party Advisory, VDB Entry)
- http://www.slackware.com/security/viewer.php?l=slackware-security&y=2016&m=slackware-security.440568(Third Party Advisory)
- http://www.ubuntu.com/usn/USN-2990-1(Third Party Advisory)
- https://lists.debian.org/debian-lts-announce/2018/06/msg00009.html(Mailing List, Third Party Advisory)
- https://security.gentoo.org/glsa/201611-21(Third Party Advisory)
- https://www.exploit-db.com/exploits/39767/(Third Party Advisory, VDB Entry)
- https://www.imagemagick.org/discourse-server/viewtopic.php?f=4&t=29588(Vendor Advisory)
- https://www.imagemagick.org/script/changelog.php(Release Notes)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2016-3718(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
Server-Side Request Forgery tritt auf, wenn eine Webanwendung eine Remote-Ressource abruft, ohne die vom Benutzer bereitgestellte URL zu validieren. Dies ermöglicht es Angreifern, die Anwendung zu zwingen, Anfragen an unerwartete Ziele zu senden, selbst wenn diese durch Firewalls, VPNs oder Netzwerk-Zugriffskontrolllisten geschützt sind. Angreifer können SSRF missbrauchen, um auf interne Dienste, Cloud-Metadaten-Endpunkte zuzugreifen, lokale Dateien zu lesen, interne Netzwerke zu scannen oder mit internen APIs zu interagieren.
Im Kontext von CVE-2016-3718 können ImageMagicks HTTP- und FTP-Coder durch manipulierte Bilddateien ausgelöst werden, um ausgehende Netzwerkanfragen an vom Angreifer spezifizierte Server zu stellen. Wenn eine Webanwendung ein von einem Angreifer hochgeladenes bösartiges Bild verarbeitet, initiiert ImageMagick serverseitige HTTP- oder FTP-Anfragen vom Server an beliebige Ziele. Dies ermöglicht Angreifern, interne Netzwerke zu sondieren, auf interne Dienste zuzugreifen, die nicht dem Internet ausgesetzt sind, Cloud-Metadaten-Endpunkte mit Anmeldedaten zu lesen und potenziell Daten über DNS- oder HTTP-Callbacks zu exfiltrieren.
Mehr erfahren: CWE-918 — Server-Side Request Forgery (SSRF)
Auswirkungsanalyse
CVE-2016-3718 hat einen CVSS 3.1-Score von 5.5 (MITTEL) mit unverändertem Scope.
Vertraulichkeit (KEINE): Die CVSS-Bewertung stuft die Vertraulichkeitsauswirkung als Keine ein. In der Praxis kann SSRF jedoch genutzt werden, um auf interne Dienste und Cloud-Metadaten-Endpunkte zuzugreifen, die sensible Informationen einschließlich Anmeldedaten, API-Schlüssel und Konfigurationsdaten exponieren.
Integrität (HOCH): Die primäre CVSS-Auswirkung betrifft die Integrität. Die SSRF-Fähigkeit ermöglicht dem Angreifer, Anfragen vom Server zu fälschen und potenziell mit internen APIs und Diensten auf eine Weise zu interagieren, die Daten oder Konfigurationen modifiziert. Der Server wird effektiv zum Proxy für die Anfragen des Angreifers.
Verfügbarkeit (KEINE): Die direkte Verfügbarkeitsauswirkung wird als Keine eingestuft, obwohl SSRF-Angriffe indirekt Verfügbarkeitsprobleme durch Ressourcenerschöpfung oder durch Auslösen von Aktionen auf internen Diensten verursachen können.
Scope unverändert: Die Schwachstellenauswirkung ist auf den ImageMagick-Verarbeitungskontext beschränkt, obwohl die SSRF-Fähigkeit andere interne Dienste erreichen kann, die vom Host aus zugänglich sind.
Mit einem EPSS-Score von 0.83834 (99.28. Perzentil) gehört diese Schwachstelle zu den Top 0,72% aller CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CVE-2016-3718 hat bestätigte aktive Ausnutzung und ist im KEV-Katalog der CISA gelistet.
Exploit-Status: Diese Schwachstelle ist Teil des ImageTragick-Schwachstellensets, das im Mai 2016 offengelegt wurde. Öffentlicher Exploit-Code ist über Exploit-DB und Sicherheitsforschungspublikationen verfügbar. Der Exploit beinhaltet die Erstellung von Bilddateien, die ImageMagicks HTTP- oder FTP-Coder auslösen, um Anfragen an angreifergesteuerte oder interne Server zu stellen.
Ransomware-Assoziation: Nach den aktuellen KEV-Daten wurde keine direkte Ransomware-Assoziation für CVE-2016-3718 bestätigt. SSRF-Schwachstellen werden jedoch häufig in Angriffsketten verwendet, um Informationen über interne Netzwerke zu sammeln und auf zusätzliche Dienste zuzugreifen.
Angriffsfläche: Wie andere ImageTragick-Schwachstellen betrifft CVE-2016-3718 jede Anwendung, die vom Benutzer bereitgestellte Bilder mit anfälligen ImageMagick-Versionen verarbeitet. Webanwendungen mit Bild-Upload-Funktionalität, Content-Management-Systeme und cloudbasierte Bildverarbeitungsdienste sind primäre Ziele.
KEV-Frist: CISA verlangte von Bundesbehörden die Behebung bis zum 3. Mai 2022. Der hohe EPSS-Score von 0.83834 (99.28. Perzentil) bestätigt anhaltendes Ausnutzungsinteresse.
Behebung
- ImageMagick auf Version 6.9.3-10 oder höher aktualisieren (oder 7.0.1-1+ für den 7.x-Branch). Laden Sie die neueste Version von der offiziellen ImageMagick-Website herunter oder wenden Sie die Sicherheitspatches Ihrer Distribution an. Konsultieren Sie das ImageMagick Changelog für Details.
- HTTP- und FTP-Coder in ImageMagicks Policy-Datei deaktivieren. Fügen Sie Policy-Regeln zur ImageMagick policy.xml-Datei hinzu, die die HTTP-, HTTPS-, FTP- und andere netzwerkbezogene Coder deaktivieren. Dies verhindert, dass ImageMagick ausgehende Netzwerkanfragen unabhängig vom Inhalt des Eingabebildes stellt.
- Netzwerk-Egress-Filterung implementieren. Konfigurieren Sie Firewall-Regeln, um ausgehende Netzwerkverbindungen von Servern mit ImageMagick einzuschränken. Erlauben Sie nur Verbindungen zu erforderlichen externen Diensten und blockieren Sie den Zugriff auf interne Netzwerkbereiche und Cloud-Metadaten-Endpunkte.
- Hochgeladene Bilder validieren und bereinigen. Verifizieren Sie hochgeladene Dateitypen mittels Magic-Bytes und entfernen Sie eingebettete Metadaten oder Referenzen vor der Verarbeitung. Erwägen Sie, alle hochgeladenen Bilder in ein sicheres Format zu konvertieren, bevor sie von ImageMagick verarbeitet werden.
- ImageMagick in einer Sandbox-Umgebung mit eingeschränktem Netzwerk ausführen. Stellen Sie die Bildverarbeitung in isolierten Containern ohne Netzwerkzugang oder mit strikten Netzwerkrichtlinien bereit, die Verbindungen zu internen Diensten verhindern.
- Auf SSRF-Indikatoren überwachen. Implementieren Sie Netzwerküberwachung, um ungewöhnliche ausgehende Verbindungen von Anwendungsservern zu erkennen, insbesondere zu internen Diensten, Cloud-Metadaten-Endpunkten (169.254.169.254) oder unbekannten externen Hosts.
Technische Details
CVE-2016-3718 ist eine Schwachstelle mittlerer Schwere in ImageMagick, die Benutzerinteraktion zur Ausnutzung erfordert. Der Angriffsvektor ist lokal (ein manipuliertes Bild muss verarbeitet werden), die Angriffskomplexität ist niedrig, keine Privilegien sind erforderlich, und Benutzerinteraktion wird benötigt.
Technischer Mechanismus: ImageMagick enthält HTTP- und FTP-Coder, die es ermöglichen, Remote-Ressourcen als Teil der Bildverarbeitung abzurufen. Bestimmte von ImageMagick unterstützte Bildformate (wie MVG und SVG) können Referenzen auf externe URLs enthalten. Durch die Erstellung eines bösartigen Bildes mit eingebetteten URL-Referenzen kann ein Angreifer den ImageMagick-Prozess veranlassen, HTTP- oder FTP-Verbindungen zu beliebigen Servern aufzubauen, wenn das Bild verarbeitet wird. Diese Server-Side Request Forgery ermöglicht dem Angreifer, den verarbeitenden Server als Proxy zu nutzen, um interne Netzwerkressourcen, Cloud-Metadaten-Dienste oder externe angreifergesteuerte Server zur Datenexfiltration zu erreichen.
CVSS 3.1-Vektoranalyse: Der Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N zeigt einen lokalen Angriffsvektor an, der Benutzerinteraktion erfordert, ohne Privilegienanforderungen. Die Integritätsauswirkung ist HOCH, weil der Angreifer Anfragen vom Server an interne und externe Ressourcen fälschen kann. Vertraulichkeit und Verfügbarkeit werden im Base-Score als Keine bewertet, obwohl praktische Ausnutzung oft vertrauliche Informationen durch SSRF-Angriffe auf interne Dienste liefert.
Häufig gestellte Fragen
Wird CVE-2016-3718 aktiv ausgenutzt?
Ja, CVE-2016-3718 ist Teil des ImageTragick-Schwachstellensets und wird seit seiner Offenlegung im Mai 2016 aktiv ausgenutzt. Sie ist im KEV-Katalog der CISA gelistet. Der EPSS-Score von 0.83834 (99.28. Perzentil) bestätigt eine sehr hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2016-3718 betroffen?
ImageMagick-Versionen vor 6.9.3-10 und 7.x-Versionen vor 7.0.1-1 sind betroffen. Dies umfasst nachgelagerte Distributionen wie Red Hat Enterprise Linux 6 und 7, Ubuntu 12.04 bis 16.04, Oracle Linux, Oracle Solaris und jede Anwendung, die ImageMagick zur Bildverarbeitung nutzt.
Wie behebe ich CVE-2016-3718?
Aktualisieren Sie ImageMagick auf Version 6.9.3-10 oder höher (7.0.1-1+ für den 7.x-Branch). Deaktivieren Sie HTTP-, HTTPS- und FTP-Coder in der ImageMagick policy.xml-Datei. Implementieren Sie Netzwerk-Egress-Filterung und führen Sie ImageMagick in Sandbox-Umgebungen aus.
Wie schwerwiegend ist CVE-2016-3718?
CVE-2016-3718 wird als MITTEL mit einem CVSS 3.1-Score von 5.5 eingestuft. Die SSRF-Schwachstelle ermöglicht Angreifern, den Server Anfragen an beliebige Ziele senden zu lassen und potenziell auf interne Dienste und Cloud-Metadaten zuzugreifen. Obwohl die Basis-Schwere moderat ist, ist das praktische Risiko in Cloud-Umgebungen, wo Metadaten-Dienste sensible Anmeldedaten enthalten, erheblich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.