ImageMagick, rischio sicurezza per le immagini sul Web

Un pacchetto di tool comunemente usato dai framework Web risulta essere vulnerabile, e le vulnerabilità sono già attivamente sfruttate. Una patch, incompleta, è in arrivo, per ora ci sono le misure per mitigare gli attacchi

Roma – Grave problema di sicurezza per ImageMagick, pacchetto di librerie e strumenti di processing usato da un gran numero di siti Web per la gestione e la modifica al volo delle immagini caricate dagli utenti: il codice è vulnerabile, le vulnerabilità sono già sfruttate dai cyber-criminali e le patch non sono ancora pronte.

Gli sviluppatori di ImageMagick hanno riconosciuto l’esistenza del problema, anzi, dei problemi nel loro codice, soprattutto per quanto riguarda la vulnerabilità più grave classificata come CVE-2016-3714: la falla è già stata ribattezzata ImageTragick , e può portare all’esecuzione di codice malevolo da remoto con l’upload di file grafici appositamente malformati.

Il problema nel codice di ImageMagick è di quelli “sistemici”, visto che si parla di un pacchetto di tool usato da un gran numero di siti più o meno popolari (CMS, social network, forum, blog) nelle sue diverse incarnazioni in codice PHP (imagick), Ruby (rmagick, paperclip), Node.js (imagemagick) e Python.

Oltre alla già citata esecuzione di codice da remoto, i potenziali rischi derivanti dall’abuso delle falle includono la modifica, la cancellazione o la compromissione dei file presenti sui server vulnerabili. Al momento gli sviluppatori sono al lavoro su una patch, mentre per mitigare gli attacchi già in corso è possibile applicare alcune misure restrittive al funzionamento di ImageMagick direttamente sul server.

Alfonso Maruccia

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • geronte scrive:
    rivolgimento nel contrario
    Una cosa l'ho imparata negli anni: quando nel nome di qualcosa c'è onesto, moderno, buono, equo, libero, ecc., si può stare sicuri che la realtà è l'esatto opposto.
    • Jack scrive:
      Re: rivolgimento nel contrario
      - Scritto da: geronte
      Quando nel nome di qualcosa c'è [...], si può
      stare sicuri che la realtà è l'esatto opposto.Io aggiungerei un sacco di aggettivi alla tua affermazione, arrivando alla generalizzazione:"Quando devi aggiungere un aggettivo al nome, è perché si tratta dell'esatto opposto".Vale dall'"equo compenso" fino al "regionale veloce"....
  • subiru scrive:
    basta italia
    La siae è un altro mostro burocratico partorito da quel generatore di mostri che è l'italia.Va smantellata, anzi: è l'italia che va smantellata.Speriamo di essere invasi culturalmente sempre di più, speriamo che le aziende estere conquistino sempre più spazio, speriamo che gli italiani emigrino sempre di più e che il TTIP entri in vigore alla svelta.Altrimenti i mostri, e ogni giorno si parla di loro, continueranno a nascere e a vivere a spese dei cittadini, quelli insani che sono la maggioranza assoluta e che hanno creato e mantengono i mostri stessi, e quelli sani, che devono subire, essendo una minoranza...
  • Enjoy with Us scrive:
    Ma chi lo paga l'equo compenso?
    Io dal 2000 almeno compro tutto su Ebay su Amazon e su Alienxepress, non solo non pago equi compensi ma in molti casi riesco ad evitare anche IVA e spese doganali, alla faccia di SIAE e sanguisughe statali varie!Questi non hanno ancora capito che con la globalizzazione anche gli acquirenti si sono fatti furbi, ormai non compro quasi più materiale di elettronica nel negozio fisico, ma tutto on line da distributori extraitaliani.Sarà un caso che i centri commerciali siano in crisi? Secondo me sono in molti che ormai acquistano on line... e te credo, costi del 30% inferiori quando ti va male, consegna direttamente a casa senza starsi a sbattere da un centro commercaile ad un altro, offerta molto più ampia.Morale della favola Equo compenso e IVA servono solo per mandare in malora i nostri distributori/produttori!
    • prova123 scrive:
      Re: Ma chi lo paga l'equo compenso?
      Alle fiere dell'elettronica compri anche a prezzi più bassi di amazon, tutto regolarmente con scontrino fiscale.HD USB3 2TB autoalimentato 80 euro la versione WD ElementsCampana da 50 CD musicali Verbatim -R a 10 euroCampana da 50 DVD Verbatim -R a 12 eurosolo per fare un esempio ... amazon è costosa.
      • controlli a campione scrive:
        Re: Ma chi lo paga l'equo compenso?
        - Scritto da: prova123
        Alle fiere dell'elettronica compri anche a prezzi
        più bassi di amazon, tutto regolarmente con
        scontrino
        fiscale.

        HD USB3 2TB autoalimentato 80 euro la versione
        WD
        Elements
        Campana da 50 CD musicali Verbatim -R a 10 euro
        Campana da 50 DVD Verbatim -R a 12 euro

        solo per fare un esempio ... amazon è costosa.peccato che alle fiere dell'elettronica si paga l'ingresso, si deve andare di persona e trovare parcheggio, ti fai un mazzo così a camminare per chilometri in mezzo a nerd e sociopatici e quando torni a casa metà della roba che hai preso non funziona e ti attacchi al tram perché l'espositore viene da otranto e tu vivi a vercelli.
      • zupermario scrive:
        Re: Ma chi lo paga l'equo compenso?
        La rapidita', il servizio e la garanzia di Amazon non te la da nessuno.- Scritto da: prova123
        Alle fiere dell'elettronica compri anche a prezzi
        più bassi di amazon, tutto regolarmente con
        scontrino
        fiscale.

        HD USB3 2TB autoalimentato 80 euro la versione
        WD
        Elements
        Campana da 50 CD musicali Verbatim -R a 10 euro
        Campana da 50 DVD Verbatim -R a 12 euro

        solo per fare un esempio ... amazon è costosa.
  • ander scrive:
    prima o poi finirà
    Con l'evolversi e la diffusione di servizi di audio/video in streaming con canone a pagamento(vedi il sucXXXXX di netflix) mi auguro che in un prossimo futuro l'equo canone sui supporti vergini e la Siae stessa perdano ogni motivo di esistere.Ad esempio il dover pagare un balzello su SD che uso nella reflex(quindi materiale di mia proprietà) è assurdo.
    • panda rossa scrive:
      Re: prima o poi finirà
      - Scritto da: ander
      Con l'evolversi e la diffusione di servizi di
      audio/video in streaming con canone a
      pagamento(vedi il sucXXXXX di netflix) mi auguro
      che in un prossimo futuro l'equo canone sui
      supporti vergini e la Siae stessa perdano ogni
      motivo di
      esistere.
      Ad esempio il dover pagare un balzello su SD che
      uso nella reflex(quindi materiale di mia
      proprietà) è
      assurdo.Ecco! Ricordatelo sia alle elezioni amministrative che al referendum costituzionale!
      • panfilo rosato scrive:
        Re: prima o poi finirà
        Si dai, cosa dobbiamo votare allora? I grillini?
        • bubba scrive:
          Re: prima o poi finirà
          - Scritto da: panfilo rosato
          Si dai, cosa dobbiamo votare allora? I grillini?perche' no..... oppure, se sei socipatico, l'Altro Matteo (tm)
          • Manifesto elettorale scrive:
            Re: prima o poi finirà
            - Scritto da: bubba
            - Scritto da: panfilo rosato

            Si dai, cosa dobbiamo votare allora? I grillini?
            perche' no..... oppure, se sei socipatico,
            l'Altro Matteo
            (tm)Ma anche no!In ogni caso la scelta del ladro da votare è libera e segreta (a volte)...(rotfl)(rotfl)E non credo che i volantini elettorali su PI cambieranno la sostanza...
          • bubba scrive:
            Re: prima o poi finirà
            - Scritto da: Manifesto elettorale
            - Scritto da: bubba

            - Scritto da: panfilo rosato


            Si dai, cosa dobbiamo votare allora? I
            grillini?

            perche' no..... oppure, se sei socipatico,

            l'Altro Matteo

            (tm)
            Ma anche no!
            In ogni caso la scelta del ladro da votare è
            libera e segreta (a
            volte)...
            (rotfl)(rotfl)
            E non credo che i volantini elettorali su PI
            cambieranno la
            sostanza...io potendo voterei peter sunde :)
  • Scumm78 scrive:
    innocenti fino a prova contraria...
    Una volta si era innocenti fino a prova contraria. Per l'equo compenso invece siamo colpevoli e paghiamo fino a prova contraria...Interessante visione.
    • panda rossa scrive:
      Re: innocenti fino a prova contraria...
      - Scritto da: Scumm78
      Una volta si era innocenti fino a prova
      contraria. Per l'equo compenso invece siamo
      colpevoli e paghiamo fino a prova
      contraria...
      Interessante visione.Ma non dire fesserie che poi la gente si confonde!Dov'e' che paghiamo fino a prova contraria?Paghiamo e basta! Non c'e' prova contraria.
      • domisol scrive:
        Re: innocenti fino a prova contraria...
        - Scritto da: panda rossa
        - Scritto da: Scumm78

        Una volta si era innocenti fino a prova

        contraria. Per l'equo compenso invece siamo

        colpevoli e paghiamo fino a prova

        contraria...

        Interessante visione.

        Ma non dire fesserie che poi la gente si confonde!

        Dov'e' che paghiamo fino a prova contraria?

        Paghiamo e basta! Non c'e' prova contraria.Quando la smetterai di confondere idealisti e scrocconi, forse quel giorno smetteremo di pagare.
        • panda rossa scrive:
          Re: innocenti fino a prova contraria...
          - Scritto da: domisol
          - Scritto da: panda rossa

          - Scritto da: Scumm78


          Una volta si era innocenti fino a prova


          contraria. Per l'equo compenso invece siamo


          colpevoli e paghiamo fino a prova


          contraria...


          Interessante visione.



          Ma non dire fesserie che poi la gente si
          confonde!



          Dov'e' che paghiamo fino a prova contraria?



          Paghiamo e basta! Non c'e' prova contraria.

          Quando la smetterai di confondere idealisti e
          scrocconi, forse quel giorno smetteremo di
          pagare.Non sono io che confondo.Sono loro che con la scusa degli scrocconi si approfittano.
          • roso si sera panda si spera scrive:
            Re: innocenti fino a prova contraria...
            - Scritto da: panda rossa
            - Scritto da: domisol

            - Scritto da: panda rossa


            - Scritto da: Scumm78



            Una volta si era innocenti fino a
            prova



            contraria. Per l'equo compenso
            invece
            siamo



            colpevoli e paghiamo fino a prova



            contraria...



            Interessante visione.





            Ma non dire fesserie che poi la gente si

            confonde!





            Dov'e' che paghiamo fino a prova
            contraria?





            Paghiamo e basta! Non c'e' prova
            contraria.



            Quando la smetterai di confondere idealisti e

            scrocconi, forse quel giorno smetteremo di

            pagare.


            Non sono io che confondo.
            Sono loro che con la scusa degli scrocconi si
            approfittano.Eh, però sul fatto che esistano gli scrocconi mica hanno torto.
          • panda rossa scrive:
            Re: innocenti fino a prova contraria...
            - Scritto da: roso si sera panda si spera
            Eh, però sul fatto che esistano gli scrocconi
            mica hanno
            torto.Scroccone: intermediario parassita. Colui che pretende di ingrassare per 70 anni di nullafacenza sfruttando immeritatamente i proventi delle opere dell'artista defunto e cercando di prolungare all'infinito tale durata.
          • Fulmy(nato) scrive:
            Re: innocenti fino a prova contraria...
            - Scritto da: panda rossa
            Scroccone: intermediario parassita. Colui che
            pretende di ingrassare per 70 anni di
            nullafacenza sfruttando immeritatamente i
            proventi delle opere dell'artista defunto e
            cercando di prolungare all'infinito tale
            durata.Risolveranno anche quello, e agli artisti sarà proibito morire.
  • rico scrive:
    TAR de che?
    Si rivolgono al TAR del Lazio? Come se, volendo fare il giro del mondo, mi rivolgessi al porto di Amalfi. MI direbbero "bravo, ma dopo innumerevoli giri che ti sono costati migiaia di euro, abbiamo solo una barchetta a remi".Come rivolgersi ad una mosca per sollevare un automobile.
  • john-terrier scrive:
    meglio comprare dall'estero i supporti..
    come da titolo! non va nulla a siae e non vanno nel redditometro. un conto e usare i supporti per copie di bkp personali, un altro e per...comunque siae al rogo!
    • panda rossa scrive:
      Re: meglio comprare dall'estero i supporti..
      - Scritto da: john-terrier
      come da titolo! non va nulla a siae e non vanno
      nel redditometro. un conto e usare i supporti per
      copie di bkp personali, un altro e
      per...Da quando esiste l'iniquo compenso acquisitiamo le memorie di massa all'estero.Anche a costo di spendere qualcosina in piu', sempre meglio che foraggiare questo branco di parassiti.
      comunque siae al rogo!Rogo basso, pero'... l'agonia deve essere lunga e dolorosa.
      • ... scrive:
        Re: meglio comprare dall'estero i supporti..
        - Scritto da: panda rossa
        Rogo basso, pero'... l'agonia deve essere lunga e
        dolorosa.Azz... che democratico! :|
  • yuppi scrive:
    pagamento anticipato
    Fermate i milioni di download illegali e si fermerà anche l'equo compenso, vedetelo come un pagamento anticipato non come una tassa
    • bubba scrive:
      Re: pagamento anticipato
      - Scritto da: yuppi
      Fermate i milioni di download illegali e si
      fermerà anche l'equo compenso, vedetelo come un
      pagamento anticipato non come una
      tassacome battuta e' divertente. Perche' e' una battuta, VERO?nell'anno del signore 2000 si recitava questo < (balzelli sulle fotocopie)... Non vi basta? forse non lo sapete ma tasse simili pro-siae esistono anche in altri casi come per l'acquisto di cassette e videocassette vergini, a prescindere dell'utilizzo che fate del vostro VHS - magari come zeppa per il comodino traballante; infatti si suppone che i supporti vengano utilizzati sempre e comunque per duplicare illegalmente originali bollati siae e quindi si paga anticipatamente una quota risarcitoria per le presunte malefatte... per la siae e' sempre Natale !
    • panda rossa scrive:
      Re: pagamento anticipato
      - Scritto da: yuppi
      Fermate i milioni di download illegali e si
      fermerà anche l'equo compenso, vedetelo come un
      pagamento anticipato non come una
      tassaGentilissimo yuppi, visto che tu non sei un artista, ti spiacerebbe spiegarci la tua presenza in qualita' di intermediario parassita della filiera dell'audio/video.
      • aphex_twin scrive:
        Re: pagamento anticipato
        Non sta "parassitando" , mette in pratica le sue abilitá , vedilo come un bot che lavora e guadagna per lui. :D
        • panda rossa scrive:
          Re: pagamento anticipato
          - Scritto da: aphex_twin
          Non sta "parassitando" , mette in pratica le sue
          abilitá , vedilo come un bot che lavora e
          guadagna per lui.
          :DUn bot che si avvale di legislazione lobbista di stampo mafioso?
    • Enjoy with Us scrive:
      Re: pagamento anticipato
      - Scritto da: yuppi
      Fermate i milioni di download illegali e si
      fermerà anche l'equo compenso, vedetelo come un
      pagamento anticipato non come una
      tassaE perchè mai? Un bel film scaricato da mulo costa zero, se poi lo masterizzo su un bel DVD comprato su Ebay a 15 centesimi o meno ti renderai conto da solo che la convenienza è assoluta.... mi impediranno di farlo? Vorrà dire che passerò a registrare i film che danno in Tv come facevo una volta col videoregistratore, con la differenza che adesso ci sono anche dei servizi on line gratuiti che ti permettono di registrare tutto quello che vuoi direttamente sul cloud (es. sui 16 Gb gentilmente offerti da m$).... morale della favola oggi se uno vuole acquistare un film lo fa a prescindere dal fatto di poterlo trovare gratuitamente in diversi altri modi!La SIAE quindi è inutile, sta li solo ad angariare i piccoli autori!
  • giovanni amelotti scrive:
    Truffa!
    La classica intramontabile truffa tutta italiana a danno sempre e solamente di chi paga le tasse!
  • prova123 scrive:
    Questo è proprio il caso in cui
    è l'europa che lo vuole ,teste di minchi* !
  • bubba scrive:
    w gli azzeccagarbugli
    aka come far passare secoli, spostando carte da un tavolo ad un altro, per una cosa manifestamente demenziale dall'inizio (l'iniquo compenso)
  • ... scrive:
    XXXXXXXXX
    l'applicazione dell'equo compenso non dovrebbe essere indiscriminata Non è questione di essere indiscriminata, ma di ingiustizia a 360°.L'equo compenso è una vera estorsione, senza se e senza ma.Io sto comprando un CD o un HD? E allora? Da quando un CD vergine ed un HD sono sinonimo di pirateria?E allora:- perché non mettiamo in carcere chiunque compri un coltello da cucina? Dopotutto potrebbe essere usato per uccidere, no?- perché non togliamo la patente chiunque ne abbia una? Dopotutto uno potrebbe bere o drogarsi prima di mettersi alla guida, no?- perché non mettiamo in carcere tutti i genitori? Dopotutto uno potrebbe abusare dei propri figli, no?- perché non mettiamo in riformatorio tutti i bambini? Dopotutto uno potrebbe diventare un delinquente, no?Quest'idea che io debba pagare preventivamente per un reato che non è detto venga commesso è una delle cose più ridicole; specie quando poi chi stava alla guida della SIAE era un certo Gino Paoli.
    • Lorenzo scrive:
      Re: XXXXXXXXX
      Si e lo sono due volte perche' in un mercato unico europeo e con le spedizioni dall'estero che costano meno di quelle italia su italia l'equo compenso si traduce in mancato acquisto quindi perdita di iva ed irpef ( almeno per ora , finche' non va in porto che paghi l'iva del paese dal quale compri ) e di valuta .
    • xcaso scrive:
      Re: XXXXXXXXX
      Ciao 3 puntini, ti ricordi di ME?Sono quello che diceva che la finale di CL 016 sarebbe stata RM vs AM.Poi tu mi hai risposto così;NON CE NE FREGA 1 C*.Sei stato un cattivissimo simpaticone, perché hai messo in dubbio la mia lungimiranza.Ma ti perdono Amicone, perché TVB.
      • Il fuddaro scrive:
        Re: XXXXXXXXX
        - Scritto da: xcaso
        Ciao 3 puntini, ti ricordi di ME?
        Sono quello che diceva che la finale di CL 016
        sarebbe stata RM vs
        AM.
        Poi tu mi hai risposto così;

        NON CE NE FREGA 1 C*.

        Sei stato un cattivissimo simpaticone, perché hai
        messo in dubbio la mia
        lungimiranza.
        Ma ti perdono Amicone, perché TVB.Tre ... puntini ciao, sono sei puntini ...... xcaso mi ami? Ma quanto xcaso mi ami?xcaso ti ricordi quando sei ...... puntini stato cattivone? Ma lo ricordi? E xcaso quanto ... lo ricordi?io xcaso dicevo che tu ... tre puntini avrei avuto xcaso ragione, ma tu cattivone di un tre ... puntini dicesti che non ti ...puntini una XXXXXXX!Ma io xcaso ti voglio tre ... x 2 puntini di bene, frivolone, mio.xcaso ti perdono anche se hai ai messo in dubbio i miei puntini ... TVTP == (ti voglio tanti puntini). punttanone mio! (love)(love)(love)
        • ... scrive:
          Re: XXXXXXXXX
          - Scritto da: Il fuddaro
          - Scritto da: xcaso

          Ciao 3 puntini, ti ricordi di ME?

          Sono quello che diceva che la finale di CL 016

          sarebbe stata RM vs

          AM.

          Poi tu mi hai risposto così;



          NON CE NE FREGA 1 C*.



          Sei stato un cattivissimo simpaticone, perché
          hai

          messo in dubbio la mia

          lungimiranza.

          Ma ti perdono Amicone, perché TVB.

          Tre ... puntini ciao, sono sei puntini ......
          xcaso mi ami? Ma quanto xcaso mi
          ami?

          xcaso ti ricordi quando sei ...... puntini stato
          cattivone? Ma lo ricordi? E xcaso quanto ... lo
          ricordi?

          io xcaso dicevo che tu ... tre puntini avrei
          avuto xcaso ragione, ma tu cattivone di un tre
          ... puntini dicesti che non ti ...puntini una
          XXXXXXX!

          Ma io xcaso ti voglio tre ... x 2 puntini di
          bene, frivolone,
          mio.

          xcaso ti perdono anche se hai ai messo in
          dubbio i miei puntini ... TVTP == (ti voglio
          tanti puntini). punttanone mio!
          (love)(love)(love)(love)(love)(love)(love)(rotfl)(love)(love)(love)(love)(love)(cylon)(cylon)(cylon)(cylon)(cylon)(cylon)(cylon)(love)(love)(cylon)(idea)(idea)(idea)(idea)(idea)(cylon)(love)(love)(cylon)(idea)(newbie)(newbie)(newbie)(idea)(cylon)(love)(rotfl)(cylon)(idea)(newbie)(nolove)(newbie)(idea)(cylon)(rotfl)(love)(cylon)(idea)(newbie)(newbie)(newbie)(idea)(cylon)(love)(love)(cylon)(idea)(idea)(idea)(idea)(idea)(cylon)(love)(love)(cylon)(cylon)(cylon)(cylon)(cylon)(cylon)(cylon)(love)(love)(love)(love)(love)(rotfl)(love)(love)(love)(love)
          • xcaso scrive:
            Re: XXXXXXXXX
            Quando compivò 18 anni mi vicovdevò di questo, bastavdi!!!
          • Il fuddaro scrive:
            Re: XXXXXXXXX
            - Scritto da: xcaso
            Quando compivò 18 anni mi vicovdevò di questo,
            bastavdi!!!L'importante e non picchiarci in testa! (rotfl)
          • Il fuddaro scrive:
            Re: XXXXXXXXX
            - Scritto da: ...
            - Scritto da: Il fuddaro

            - Scritto da: xcaso


            Ciao 3 puntini, ti ricordi di ME?


            Sono quello che diceva che la finale di CL 016


            sarebbe stata RM vs


            AM.


            Poi tu mi hai risposto così;





            NON CE NE FREGA 1 C*.





            Sei stato un cattivissimo simpaticone, perché

            hai


            messo in dubbio la mia


            lungimiranza.


            Ma ti perdono Amicone, perché TVB.



            Tre ... puntini ciao, sono sei puntini ......

            xcaso mi ami? Ma quanto xcaso mi

            ami?



            xcaso ti ricordi quando sei ...... puntini stato

            cattivone? Ma lo ricordi? E xcaso quanto ... lo

            ricordi?



            io xcaso dicevo che tu ... tre puntini avrei

            avuto xcaso ragione, ma tu cattivone di un tre

            ... puntini dicesti che non ti ...puntini una

            XXXXXXX!



            Ma io xcaso ti voglio tre ... x 2 puntini di

            bene, frivolone,

            mio.



            xcaso ti perdono anche se hai ai messo
            in

            dubbio i miei puntini ... TVTP == (ti voglio

            tanti puntini). punttanone mio!

            (love)(love)(love)


            (love)(love)(love)(love)(rotfl)(love)(love)(love)(
            (love)(cylon)(cylon)(cylon)(cylon)(cylon)(cylon)(c
            (love)(cylon)(idea)(idea)(idea)(idea)(idea)(cylon)
            (love)(cylon)(idea)(newbie)(newbie)(newbie)(idea)(
            (rotfl)(cylon)(idea)(newbie)(nolove)(newbie)(idea)
            (love)(cylon)(idea)(newbie)(newbie)(newbie)(idea)(
            (love)(cylon)(idea)(idea)(idea)(idea)(idea)(cylon)
            (love)(cylon)(cylon)(cylon)(cylon)(cylon)(cylon)(c
            (love)(love)(love)(love)(rotfl)(love)(love)(love)(Anche i fuddari difronte all'amore si sciolgono. (rotfl)
          • Curiosone scrive:
            Re: XXXXXXXXX
            - Scritto da: Il fuddaro
            Anche i fuddari difronte all'amore si sciolgono.
            (rotfl)Ma vale anche per gli xx tt gli Ax Ax i tre puntini gli 123 e tutta la famigliola?(rotfl)(rotfl)(rotfl)(rotfl)
Chiudi i commenti