Vulnerabilità di esecuzione di comandi remoti in Python PIL (GhostButt)

Il modulo PIL (Pillow) per l'elaborazione delle immagini in Python è affetto dalla vulnerabilità GhostButt (CVE-2017-8291) perché chiama internamente GhostScript, provocando una vulnerabilità di esecuzione di comandi remoti.

Riepilogo della vulnerabilità

PIL determina internamente il tipo di immagine in base all'intestazione dell'immagine (Magic Bytes). Se viene rilevato un file EPS (l'intestazione è %!PS), viene inviato a PIL/EpsImagePlugin.py per l'elaborazione.

In questo modulo, PIL chiama il comando gs di sistema, che è GhostScript, per elaborare i file immagine:

command = ["gs",
            "-q", # quiet mode
            "-g%dx%d" % size, # set output geometry (pixels)
            "-r%fx%f" % res, # set input DPI (dots per inch)
            "-dBATCH", # exit after processing
            "-dNOPAUSE", # don't pause between pages,
            "-dSAFER", # safe mode
            "-sDEVICE=ppmraw", # ppm driver
            "-sOutputFile=%s" % outfile, # output file
            "-c", "%d %d translate" % (-bbox[0], -bbox[1]),
                                            # adjust for image origin
            "-f", infile, # input file
            ]

# Omit the code to determine whether GhostScript is installed
try:
    with open(os.devnull, 'w+b') as devnull:
        subprocess.check_call(command, stdin=devnull, stdout=devnull)
    im = Image.open(outfile)

Sebbene sia impostato -dSAFER, ovvero la modalità sicura, a causa di una vulnerabilità di bypass del sandbox in GhostScript (GhostButt CVE-2017-8291), questa modalità sicura viene bypassata e possono essere eseguiti comandi arbitrari.

Inoltre, al momento, l'ultima versione ufficiale di GhostScript 9.21 è ancora affetta da questa vulnerabilità, quindi si può dire che finché GhostScript è installato sul sistema operativo, il nostro PIL presenta una vulnerabilità di esecuzione di comandi.

Test della vulnerabilità

Ambiente operativo:

docker-compose up -d

Dopo l'esecuzione, visita http://your-ip:8000/ per vedere una pagina di upload. La funzione normale prevede il caricamento di un file PNG, il backend chiama PIL per caricare l'immagine e restituisce la lunghezza e la larghezza. Ma possiamo cambiare il suffisso del file EPS eseguibile in PNG per il caricamento, perché il backend determina il tipo di immagine in base all'intestazione del file, quindi il controllo del suffisso viene ignorato.

Ad esempio, se carichiamo poc.png, possiamo eseguire touch /tmp/youhavebeenpwned. Modifica il comando nel POC in un comando di rebound per ottenere una shell: