Trusted Design

解説:

CVE-2016-3718は、ImageMagickにおけるServer-Side Request Forgery (SSRF) の脆弱性です。この脆弱性は、「ImageTragick」として知られる一連の脆弱性の一つとして公開されました。

1. 脆弱性の概要

ImageMagickの(1)HTTPおよび(2)FTPコーダーにおいて、細工された画像を介してリモートの攻撃者がサーバーサイドリクエストフォージェリ (SSRF) 攻撃を実行できる脆弱性です。これにより、攻撃者は任意のHTTP/FTPリクエストを行う可能性があります。

1.1 影響

この脆弱性により、攻撃者はシステムが属するネットワーク内部の他のサーバーへのHTTPまたはFTPリクエストを実行することができます。 これが悪用されると、機密情報の漏えいや、内部ネットワークへのアクセス、さらには他の内部システムの脆弱性を悪用される可能性があります。F5 BIG-IPシステムの場合、WebAccelerationプロファイルでImage Optimization設定（AAM、WebAccelerator、Gateway）を使用しているシステムが影響を受ける可能性があります。

1.2 深刻度

CVSS v3の基本スコアは5.5 (Medium) と評価されています。 また、CISA (米国サイバーセキュリティ・社会基盤安全保障庁) のKnown Exploited Vulnerabilitiesカタログに登録されており、実際に悪用が確認されています。 これは、早急な対策が必要であることを示唆しています。

2. 対象となる環境

この脆弱性はImageMagickの特定のバージョンおよびImageMagickを利用するアプリケーションに影響を与えます。

2.1 影響を受けるOSバージョン

ImageMagick 6.9.3-10より前のバージョン、および7.x系の7.0.1-1より前のバージョンが影響を受けます。 ImageMagickはクロスプラットフォームに対応しており、以下のLinuxディストリビューションも影響を受ける可能性があります。 * Arch Linux * CentOS * Debian GNU/Linux * Fedora Project * Gentoo Linux * openSUSE * Redhat Linux * Slackware * SUSE Linux * Turbo Linux * Ubuntu また、WindowsやMac OS Xでの利用も可能であるため、影響を受ける場合があります。 F5製品では、Image Optimization設定が有効なBIG-IPシステムが影響を受けます。BIG-IQおよびEnterprise Managerシステムは、デフォルト設定では脆弱ではありませんが、mogrifyバイナリがリモートで画像最適化を実行するために使用された場合、悪用可能になる可能性があります。

2.2 影響を受ける設定

ImageMagickのHTTPコーダーとFTPコーダーがこの脆弱性に関連しています。 F5 BIG-IPシステムでは、WebAccelerationプロファイルでImage Optimization設定（AAM、WebAccelerator、Gateway）が構成されている場合に脆弱性が発生します。

3. 影響を受けた時の兆候

CVE-2016-3718は、主にServer-Side Request Forgery (SSRF) を可能にする脆弱性です。直接的なシステムダウンや明示的なエラーメッセージなどの兆候は、検索結果からは具体的に示されていません。しかし、脆弱性が悪用された場合、通常発生しない外部または内部ネットワークへの予期せぬHTTP/FTPリクエストが、影響を受けたシステムから発生する可能性があります。

4. 推奨対策

4.1 本対策

• ImageMagickのアップデート: 脆弱性が修正されたバージョンにアップデートすることが最も推奨される対策です。ImageMagick 6.9.3-10以降、および7.0.1-1以降のバージョンがこの脆弱性に対処しています。
• ベンダーの指示に従う: 使用している製品やOSベンダーから提供されるパッチやアップデートを適用してください。

4.2 暫定回避策（緩和策）

• 脆弱なImageMagickコーダーの無効化: グローバルポリシーファイル（通常/etc/ImageMagick/policy.xml）を編集して、脆弱なImageMagickコーダー（EPHEMERAL, URL, HTTPS, MVG, MSL, TEXT, SHOW, WIN, PLTなど）を無効にすることができます。

  xml <policymap> <policy domain="coder" rights="none" pattern="EPHEMERAL" /> <policy domain="coder" rights="none" pattern="URL" /> <policy domain="coder" rights="none" pattern="HTTPS" /> <policy domain="coder" rights="none" pattern="MVG" /> <policy domain="coder" rights="none" pattern="MSL" /> <policy domain="coder" rights="none" pattern="TEXT" /> <policy domain="coder" rights="none" pattern="SHOW" /> <policy domain="coder" rights="none" pattern="WIN" /> <policy domain="coder" rights="none" pattern="PLT" /> </policymap> * Magic Bytesの検証: ImageMagickで処理する前に、すべての画像ファイルがサポートする画像ファイルタイプに対応する「マジックバイト」で始まっていることを確認することを推奨します。 * F5 BIG-IPの場合: WebAccelerationプロファイルでImage Optimization設定を使用している場合は、ImageMagickの脆弱なコーダーを無効にする手順を実施することで、この脆弱性を緩和できます。

参照したサイト

• K61974123: ImageMagick vulnerability CVE-2016-3718 - MyF5
• CVE-2016-3718: Server-Side Request Forgery (SSRF) | Rapid7 Vulnerability Database
• CVE Program Container (CVE-2016-3718) | HOL Guard CVE
• CVE-2016-3718 — exploited in the wild (CISA KEV): remediation & advisories | VulnTrek
• CVE-2016-3718 — Patch first | CVE Explorer | Peter Bassill
• ImageTragick
• 開発者向け画像処理ツール「ImageMagick」に脆弱性 - INTERNET Watch