ImageMagick, la herramienta utilizada por millones de sitios web para procesar las imágenes, presenta varias vulnerabilidades críticas que podrían permitir a atacantes comprometer varios servidores web. Los defectos pueden ser explotados a través de imágenes especialmente diseñadas para ejecutar código malicioso en los servidores web. Todavía no hay un parche oficial y los exploits ya están disponibles.

Las vulnerabilidades fueron descubiertas por Nikolay Ermishkin, del equipo de seguridad Mail.Ru. Se informó a los desarrolladores de ImageMagick sobre el descubrimiento, los cuales intentaron una solución en la versión 6.9.3-9 publicada el 30 de abril. Sin embargo, la corrección es incompleta y las vulnerabilidades pueden seguir siendo explotadas.

Además existe evidencia de que personas ajenas a los investigadores de seguridad y desarrolladores de ImageMagick conocen los defectos, por lo que su existencia se dio a conocer públicamente. Las vulnerabilidades pueden ser explotadas subiendo imágenes especialmente diseñadas para aplicaciones web que se basan en ImageMagick para procesarlos.

ImageMagick es una herramienta de línea de comandos que se puede utilizar para crear, editar y convertir un gran número de formatos de archivo de imagen. Su biblioteca es la base para otros paquetes de servidor Web como imagick de PHP, RMagick y papercli de Ruby e ImageMagick de Node.js.

Después de la revelación, investigadores de seguridad han desarrollado ya unos exploits de prueba de concepto para las vulnerabilidades. Esto significa que los atacantes podrían también utilizarla, aumentando la probabilidad de ataques maliciosos en entornos de producción.

Los investigadores de seguridad han bautizado el conjunto de defectos como “ImageTragick” y han creado un sitio web con más información para los desarrolladores y administradores de sitios web, incluyendo el asesoramiento de mitigación hasta que se ponga a disposición un parche completo.

"Se debe verificar que todos los archivos de imágenes empiecen con los esperados 'bytes mágicos' correspondientes al tipo de archivo de imagen antes de enviarlos a ImageMagick para su procesamiento", dijeron los investigadores en el sitio web. "Se recomienda utilizar un archivo de políticas para desactivar los codificadores de ImageMagick vulnerables. La política global para ImageMagick se encuentra generalmente en '/etc/ImageMagick' ". Los desarrolladores de ImageMagick también han sugerido la mitigación basada en políticas y han publicado un archivo de política de ejemplo en su foro de soporte.