auto-cve-2022-44268

Automatizando la explotación de CVE-2022-44268 ImageMagick Arbitrary File Read

Hallazgo original: https://www.metabaseq.com/imagemagick-zero-days/

Repositorio del PoC: https://github.com/duc-nt/CVE-2022-44268-ImageMagick-Arbitrary-File-Read-PoC

Descripción

ImageMagick interpretará la cadena de texto "profile" como un nombre de archivo y cargará el contenido como un perfil sin procesar, luego el atacante puede descargar la imagen redimensionada que contendrá el contenido de un archivo remoto.

Resumen de la vulnerabilidad y explotación

🔴 Toma un archivo PNG, agrega una ruta de archivo al campo EXIF "profile", envíalo a un sitio web que use una versión afectada de ImageMagick, este interpreta la ruta del archivo, carga su contenido en el campo EXIF, descargas la imagen, extraes los datos HEX en el campo "Raw Profile Type" y los conviertes a ASCII para leer el archivo remoto.

Versiones afectadas: ImageMagick 7.1.0-49

Requisitos

sudo apt install pngcrush imagemagick exiftool exiv2 -y

Uso

wget https://github.com/narekkay/auto-cve-2022-44268.sh/releases/download/auto-cve-2022-44268.sh/auto-cve-2022-44268.sh
wget https://github.com/narekkay/auto-cve-2022-44268.sh/releases/download/auto-cve-2022-44268.sh/flag.png
chmod +x auto-cve-2022-44268.sh
./auto-cve-2022-44268.sh <image name> <file to read>

Ejemplo

./auto-cve-2022-44268.sh flag.png /etc/passwd

Demo

https://github.com/narekkay/autoexploit-cve-2022-44268/assets/24856100/cd5719e5-6eae-4544-b4dc-719b1182018d

Consejos de enumeración

Una vez que obtengas usuarios de /etc/passwd, intenta enumerar claves SSH privadas desde /home/.ssh// :

• id_rsa
• id_ecdsa
• id_ed25519 p.ej. /home/john/.ssh/id_ed25519

No olvides :

• archivos de configuración para CMS conocidos como wp-config.php para Wordpress
• enumeración de Virtual Hosts como /etc/apache2/sites-available/000-default.conf,
• o archivos .env para instancias

Tags

imagemagick, exploit, vuln, magick convert, magick resize, exploitation, vulnerabilities, file read, CVE-2022-44268