Güvenlik araştırmacıları, dünyanın en çok kullanılan açık kaynaklı görüntü işleme yazılımı süitlerinden biri olan Imagemagick’te potansiyel olarak milyonlarca kullanıcıyı güvenlik risklerine maruz bırakan dört ciddi güvenlik açıkını ortaya çıkardılar.
Araştırmacı “Urban-Warrior” tarafından keşfedilen ve üç gün önce yayınlanan güvenlik açıkları, saldırganların özel hazırlanmış görüntü dosyaları aracılığıyla kötü amaçlı kod yürütmesine izin verebilecek iki yüksek şiddetli kusur içeriyor.
Imagemagick geliştiricileri zaten bu sorunları ele alan yamalar yayınladı, ancak kuruluşlar ve bireysel kullanıcılar potansiyel sömürüyü önlemek için hemen kurulumlarını güncellemeleri isteniyor.
En şiddetli güvenlik açıkları, Imagemagick’in MNG (çoklu görüntü ağ grafikleri) dosya formatını, özellikle de görüntü büyütme işlevselliğinde ele alması etrafında toplanır.
Kritik Bellek Yolsuzluğu Kusurları
Dahili tanımlayıcı Bigsleep-435153105 ile CVE-2025-55154 olarak izlenen ilk kritik kusur, MNG büyütme hesaplamalarındaki tamsayı taşma güvenlik açıklarını içerir.
Kötü niyetli olarak hazırlanmış MNG dosyalarını işlerken, yazılım taşabilecek güvensiz hesaplamalar gerçekleştirerek hafıza yolsuzluğuna ve potansiyel kod yürütülmesine yol açar.
Güvenlik açığı içinde meydana gelir ReadOneMNGImage içindeki işlev coders/png.c burada büyütülmüş boyut hesaplamaları, büyük boyutlara sahip görüntüleri işlerken taşabilecek 32 bit imzasız tamsayılar kullanır.
Bu taşma, yazılımın, büyütme işlemleri için orijinal, daha büyük parametreleri kullanırken yetersiz bellek arabelleğini tahsis etmesine neden olur, bu da kontrollü verilerle belleği yığınlamak için sınır dışı yazarlar.
İkinci yüksek şiddetli güvenlik açığı olan CVE-2025-55004 (Bigsleep-436829309), aynı büyütme işlevini etkiler, ancak özellikle alfa kanalları olan görüntüleri hedefler.
Bu kusur, Imagemagick ayrı alfa kanal verileri içeren MNG dosyalarını işlerken, potansiyel olarak saldırganların bellek içeriğini çıktı görüntülerine sızmasına veya uygulama çökmelerine neden olmasına izin verdiğinde yığın arabellek taşma koşulları oluşturur.
Keşfedilen güvenlik açıkları, Imagemagick’in bellek yönetimi ve girdi doğrulama sistemlerindeki temel zayıflıklardan yararlanır. Bu kusurların temel teknik özellikleri şunları içerir:
- Tamsayı taşma sömürüsü: Boyutları 65.535 piksel yaklaşan, tipik olarak boyutları 8.000 pikselle sınırlayan varsayılan güvenlik politikalarıyla önleyen görüntüler gerektirir.
- Alfa kanal bypass: Standart güvenlik politikalarını ihlal etmeden tetiklenebilir, bu da üretim ortamları için özellikle tehlikeli hale getirir.
- Bellek Tahsisi Uyumsuzluğu: Tahsis edilen tampon boyutları ile gerçek işleme gereksinimleri arasında tutarsızlıklar yaratır.
- Yığın tampon yolsuzluğu: Saldırgan tarafından kontrol edilen verilerle yazılı olmayan bellek yazar.
Alpha Channel güvenlik açığı, özellikle ilgili bir saldırı vektörü sunar, çünkü standart güvenlik politikalarını ihlal etmeden tetiklenebilir.
Kusur, Imagemagick, başlangıçta tampon boyutlarını hesapladıktan sonra, tahsis edilen bellek ve sonraki işlem işlemleri sırasında gerçek gereksinimler arasında bir uyumsuzluk oluşturduktan sonra görüntü meta verilerini alfa kanal bilgilerini ekleyecek şekilde güncellediğinde gerçekleşir.
İki ilave ılımlı şiddetli güvenlik açıkları, güvenlik endişelerini birleştirir. CVE-2025-55005 (Bigsleep-435156754), referans-siyah ve referans-beyaz değerlerin yanlış doğrulanmasının bu değerlerin 1024’ü aştığında yığın arabelleği taşmasına neden olabileceği günlük renkleri taşımasını etkiler.
Dördüncü güvenlik açığı olan CVE-2025-55160, tanımsız davranışları içerir. CloneSplayTree Sanitizer özellikli yapılarda uygulama kazalarına yol açabilecek işlev.
Yamalar ve Öneriler
Imagemagick geliştiricileri, bu keşiflere hızlı bir şekilde yanıt verdiler ve tanımlanan tüm güvenlik açıklarını ele alan yamalı versiyonlar yayınladılar.
Imagemagick 7.x kullanıcıları 7.1.2-1 veya daha sonraki sürümlere yükseltilmelidir, Legacy 6.x dalını kullananlar 6.9.13-27 veya daha yeni sürümlere güncellenmelidir.
Yamalar, uygun sınırları kontrol eder, bellek tahsisi hesaplamalarını düzeltir ve bu güvenlik açıklarını sağlayan Fonksiyon işaretçi tipi uyumsuzlukları çözer.
Web uygulamaları, içerik yönetim sistemleri veya otomatik görüntü işleme iş akışları için ImageEmagick’e güvenen kuruluşlar bu güncellemelere derhal öncelik vermelidir.
Birincil güvenlik açıklarının ağ tabanlı saldırı vektörü, 8.8 ila 9.8 arasında değişen yüksek CVSS skorları ile birleştiğinde, başarılı sömürünün sistem uzlaşmasına yol açabileceğini gösterir.
Güvenlik yöneticileri ayrıca görüntü boyutları, dosya boyutları ve desteklenen formatlar için uygun sınırların yerinde kalmasını sağlayarak Imagemagick güvenlik politikalarını da gözden geçirmelidir.
WebSafe güvenlik politikası bu güvenlik açıklarının bir kısmını engellerken, Alpha Channel kusuru tek başına kısıtlayıcı politikaların tam koruma sağlayamayacağını göstermektedir.
Bu güvenlik açıklarının keşfi, geniş çapta dağıtılan açık kaynaklı yazılımların, özellikle de dış kaynaklardan güvenilmeyen girdileri işleyen araçların karşılaştığı devam eden güvenlik zorluklarını vurgulamaktadır.
Düzenli güvenlik denetimi ve hızlı yama dağıtım, güvenli görüntü işleme altyapılarını korumanın temel bileşenleri olmaya devam etmektedir.
Boost your SOC and help your team protect your business with free top-notch threat intelligence: Request TI Lookup Premium Trial.