ImageMagick の脆弱性（CVE-2016-3715）

何が起きた

画像を変換するソフト ImageMagick の EPHEMERAL という処理部分（読み込んだ後にファイルを消す仕組み）に、細工した画像を読み込ませると、任意のファイルを消されてしまう弱点が見つかりました。NVD の説明ではリモートの攻撃者が悪用できるとされ、NVD の評価では、対象の機器上で、権限なしに、利用者の操作があると悪用できるとされています。CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、ImageMagick の 6.9.3-10 より前の版と、7.x の 7.0.1-1 より前の版が対象です。細工した画像を ImageMagick で読み込むと影響を受けます。

何をすればいい

ImageMagick を 6.9.3-10 以降、7.x なら 7.0.1-1 以降に更新されているか確認してください。すぐに更新できない場合、ImageMagick の開発元は 2016年5月の告知で、設定ファイル policy.xml に EPHEMERAL などの処理を使えなくする設定を加える方法を案内しています。詳しくは ImageMagick の公式の案内を確認してください。

やることチェックリスト

• ImageMagick を 6.9.3-10 以降に更新する
• 7.x は 7.0.1-1 以降に更新する
• policy.xml で EPHEMERAL を無効にする

用語メモ

EPHEMERAL

ImageMagick の機能の一つで、ファイルを読み込んだ後にそのファイルを消すものです。

任意のファイル

攻撃者が好きに選べるファイルという意味です。

policy.xml

ImageMagick の動きを制限するための設定ファイルです。使わせない処理を指定できます。