Alerte - Vulnérabilité dans ImageMagick

Numéro : AL16-007
Date : Le 4 mai 2016

Objet

La présente alerte vise à attirer l'attention sur une vulnérabilité VulnérabilitéDéfectuosité ou lacune inhérente à la conception ou à la mise en œuvre d’un système d’information ou à son environnement, qui pourrait être exploitée en vue de compromettre les biens ou les activités d’une organisation. récemment divulguée dans ImageMagick.

Évaluation

Par des sources ouvertes, le CCRIC a appris la divulgation récente d'une vulnérabilité dans ImageMagick; son exploitation réussie permet à un attaquant d'exécuter du code à distance sans s'authentifier.

Bibliothèque populaire de traitement des images, ImageMagick est utilisée par de nombreux sites Web. Ceux qui permettent à leurs utilisateurs de téléverser des images (blogues, forums et médias sociaux, par exemple), sont particulièrement vulnérables.

Une validation logicielle de principe qui exploite cette vulnérabilité a été diffusée publiquement, et  le développeur a annoncé qu'un correctif de sécurité sera diffusé sous peu.

Code CVE : CVE-2016–3714

Mesure suggérée

Vu les risques potentiels de cette vulnérabilité, le CCRIC recommande aux administrateurs de système de surveiller la diffusion du correctif par le développeur. Pour pallier le problème entretemps, le chercheur en sécurité informatique et le développeur recommandent des mesures d'atténuation.

Références

Chercheur en sécurité :
https://imagetragick.com/ (en anglais)

Commentaires du développeur en réponse :
https://www.imagemagick.org/discourse-server/viewtopic.php?f=4&t=29588 (en anglais)

Arstechnica - Huge number of sites imperiled by critical image-processing vulnerability (Grand nombre de sites touchés par une vulnérabilité critique en traitement des images) :
http://arstechnica.com/security/2016/05/easily-exploited-bug-exposes-huge-number-of-sites-to-code-execution-attacks/ (en Anglais)