CERT/CC披露ImageMagick任意文件读写漏洞

CERT/CC发布漏洞公告称，使用ImageMagick且安全策略限制不足的应用存在多个任意文件读写漏洞，统称ImageTragick2，攻击者可通过构造SVG或PostScript内容触发，影响Rails、WordPress等应用。 CERT/CC称，即便Ghostscript以-dSAFER参数调用，观察到的配置仍允许访问/tmp内的文件；仅更新ImageMagick可能不够，若其安全策略继续允许危险的coder或delegate，漏洞仍可利用。 CERT/CC建议基于允许列表编写自定义policy.xml，只启用应用所需的格式和操作，禁用MSL、MVG、PS、EPS、PDF等不必要的coder和delegate，并称ImageMagick自带的secure策略模板未必适用于所有部署，需核实实际生效的策略并确认被禁格式遭拒绝。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。