ImageMagick のSSRFの脆弱性（CVE-2016-3718）

何が起きた

画像を変換するソフト ImageMagick の HTTP と FTP の処理部分に、細工した画像を読み込ませると、サーバーに攻撃者の望む通信をさせられる弱点（SSRF）が見つかりました。NVD の説明ではリモートの攻撃者が悪用できるとされ、NVD の評価では、対象の機器上で、権限なしに、利用者の操作があると悪用できるとされています。CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、ImageMagick の 6.9.3-10 より前の版と、7.x の 7.0.1-1 より前の版が対象です。細工した画像を ImageMagick で読み込むと影響を受けます。

何をすればいい

ImageMagick を 6.9.3-10 以降、7.x なら 7.0.1-1 以降に更新されているか確認してください。詳しくは ImageMagick の公式の案内を確認してください。

やることチェックリスト

• 使っている ImageMagick の版を調べる
• 6.x は 6.9.3-10 以降に更新する
• 7.x は 7.0.1-1 以降に更新する

用語メモ

SSRF 用語集で見る

サーバーをだまして、攻撃者が指定した宛先へ通信させる攻撃です。サーバーからしか届かない内部の場所にアクセスされることがあります。

FTP

ファイルをやり取りするための通信の決まりです。