CVE-2022-44268 ImageMagick 任意文件读取 poc
2023-2-4 13:25:40 Author: Ots安全(查看原文) 阅读量:19 收藏

一个信息泄露漏洞，可被利用在解析图像时从服务器读取任意文件。

Image Magic 版本生效

Version: ImageMagick 6.9.11-60 Q16 x86_64 2021-01-25 https://imagemagick.orgCopyright: (C) 1999-2021 ImageMagick Studio LLCLicense: https://imagemagick.org/script/license.phpFeatures: Cipher DPC Modules OpenMP(4.5)Delegates (built-in): bzlib djvu fftw fontconfig freetype heic jbig jng jp2 jpeg lcms lqr ltdl lzma openexr pangocairo png tiff webp wmf x xml zlib

需要安装的包

sudo apt-get install imagemagick exiftool pngcrush exiv2 -y

用法

git clone https://github.com/Ashifcoder/CVE-2022-44268-automated-poc.gitcd CVE-2022-44268-automated-pocchmod 750 CVE-2022-44268_poc.sh./CVE-2022-44268_poc.sh

在 Ubuntu 上测试22.04.1 LTS (Jammy Jellyfish)示例用法截图

参考

  • 原始报告：https ://www.metabaseq.com/imagemagick-zero-days/

  • 原始 Poc：https ://github.com/duc-nt/CVE-2022-44268-ImageMagick-Arbitrary-File-Read-PoC.git

项目地址：

  • https://github.com/Ashifcoder/CVE-2022-44268-automated-poc#tested-on-ubuntu-22041-lts-jammy-jellyfish


文章来源: http://mp.weixin.qq.com/s?__biz=MzAxMjYyMzkwOA==&mid=2247496496&idx=1&sn=2a78f6a79fac15defed023b0966be87f&chksm=9badba7bacda336d506bd275008079bb9b5768f408458f7273c1814379258d3747400e02a988#rd
如有侵权请联系:admin#unsafe.sh