12 ноября 2026 года CERT/CC опубликовал предупреждение ImageTragick2 о приложениях, которые обрабатывают изображения через ImageMagick с недостаточно строгой политикой безопасности. Mentoring.digital разбирает условия риска и проверки для серверного обработчика загрузок.
Когда обработка изображения даёт доступ к файлам
Проблема возникает при разборе подконтрольного атакующему SVG или PostScript, если конфигурация разрешает опасные обработчики форматов и внешние программы. Возможны чтение и запись файлов в пределах прав процесса ImageMagick. В отдельных конфигурациях такой доступ может стать частью цепочки выполнения кода.
Имя файла и заявленный тип содержимого не определяют всю цепочку обработки. ImageMagick может распознать PostScript по содержимому и передать его Ghostscript. Поэтому приём только файлов с привычным расширением сам по себе не подтверждает безопасность преобразования.
Почему обновления библиотеки может быть недостаточно
CERT/CC отдельно указывает на действующую политику. Если она продолжает разрешать опасные возможности, обновление ImageMagick не закрывает весь сценарий. Нужно учитывать и настройки приложения, которое вызывает библиотеку, и поставляемые для него исправления.
В policy.xml следует разрешить только нужные форматы и операции. Конкретный набор зависит от сервиса: приложению, которое действительно принимает PDF, потребуется другой согласованный контур, чем генератору миниатюр из растровых фотографий. Отключение формата нужно проверить вместе с сохранностью разрешённых пользовательских сценариев.
Что проверить в своём обработчике
- Выяснить, какая программа фактически обрабатывает загрузку и какую политику она использует.
- Проверить разрешённые форматы и отказ для запрещённых входов в изолированном тестовом окружении.
- Ограничить права процесса, доступ к временным каталогам и общим томам контейнера.
- Проверить обновления приложения и поставщика пакетов, а затем повторить обычные операции загрузки и преобразования.
Такая проверка относится и к обработке изображений перед AI-моделью или после неё: источник картинки не отменяет ограничения файлового доступа. Границы контейнера и права процесса можно изучить на практических курсах DevOps. Разобрать схему обработки загрузок своего сервиса поможет ментор по инфраструктуре и DevOps.
