hacktricks/network-services-pentesting/pentesting-web/imagemagick-security.md

# Sécurité ImageMagick

<details>

<summary><strong>Apprenez le piratage AWS de zéro à héros avec</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (Expert en équipe rouge AWS de HackTricks)</strong></a><strong>!</strong></summary>

Autres façons de soutenir HackTricks :

* Si vous souhaitez voir votre **entreprise annoncée dans HackTricks** ou **télécharger HackTricks en PDF**, consultez les [**PLANS D'ABONNEMENT**](https://github.com/sponsors/carlospolop) !
* Obtenez le [**swag officiel PEASS & HackTricks**](https://peass.creator-spring.com)
* Découvrez [**La famille PEASS**](https://opensea.io/collection/the-peass-family), notre collection exclusive de [**NFT**](https://opensea.io/collection/the-peass-family)
* **Rejoignez le** 💬 [**groupe Discord**](https://discord.gg/hRep4RUj7f) ou le [**groupe Telegram**](https://t.me/peass) ou **suivez** moi sur **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**.**
* **Partagez vos astuces de piratage en soumettant des PR aux** [**HackTricks**](https://github.com/carlospolop/hacktricks) et [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

</details>

Consultez plus de détails sur [**https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html**](https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html)

ImageMagick, une bibliothèque polyvalente de traitement d'images, présente un défi dans la configuration de sa politique de sécurité en raison de ses nombreuses options et du manque de documentation en ligne détaillée. Les utilisateurs créent souvent des politiques basées sur des sources Internet fragmentées, ce qui peut entraîner des configurations incorrectes. La bibliothèque prend en charge une vaste gamme de plus de 100 formats d'image, contribuant chacun à sa complexité et à son profil de vulnérabilité, comme le démontrent les incidents de sécurité historiques.

## Vers des politiques plus sûres
Pour relever ces défis, un [outil a été développé](https://imagemagick-secevaluator.doyensec.com/) pour aider à concevoir et auditer les politiques de sécurité d'ImageMagick. Cet outil est basé sur une recherche approfondie et vise à garantir que les politiques sont non seulement robustes, mais aussi exemptes de failles exploitables.

## Approche de la liste blanche vs liste noire
Historiquement, les politiques ImageMagick reposaient sur une approche de liste noire, où des codeurs spécifiques se voyaient refuser l'accès. Cependant, les changements dans ImageMagick 6.9.7-7 ont modifié ce paradigme, permettant une approche de liste blanche. Cette approche refuse d'abord l'accès à tous les codeurs, puis accorde sélectivement l'accès à ceux de confiance, renforçant ainsi la posture de sécurité.
```xml
...
<policy domain="coder" rights="none" pattern="*" />
<policy domain="coder" rights="read | write" pattern="{GIF,JPEG,PNG,WEBP}" />
...
```
## Sensibilité à la casse dans les politiques
Il est crucial de noter que les modèles de politiques dans ImageMagick sont sensibles à la casse. Ainsi, il est essentiel de s'assurer que les codeurs et les modules sont correctement en majuscules dans les politiques pour éviter les autorisations non intentionnelles.

## Limites des ressources
ImageMagick est sujet aux attaques de déni de service s'il n'est pas correctement configuré. Définir des limites de ressources explicites dans la politique est essentiel pour prévenir de telles vulnérabilités.

## Fragmentation des politiques
Les politiques peuvent être fragmentées à travers différentes installations d'ImageMagick, ce qui peut entraîner des conflits ou des remplacements potentiels. Il est recommandé de localiser et de vérifier les fichiers de politiques actifs en utilisant des commandes telles que :
```shell
$ find / -iname policy.xml
```
## Un modèle de politique restrictif
Un modèle de politique restrictif a été proposé, mettant l'accent sur des limitations strictes des ressources et des contrôles d'accès. Ce modèle sert de base pour élaborer des politiques personnalisées qui correspondent aux exigences spécifiques de l'application.

L'efficacité d'une politique de sécurité peut être confirmée en utilisant la commande `identify -list policy` dans ImageMagick. De plus, l'outil [évaluateur](https://imagemagick-secevaluator.doyensec.com/) mentionné précédemment peut être utilisé pour affiner la politique en fonction des besoins individuels.

## Références
* [https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html**](https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html)



<details>

<summary><strong>Apprenez le piratage AWS de zéro à héros avec</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

Autres façons de soutenir HackTricks:

* Si vous souhaitez voir votre **entreprise annoncée dans HackTricks** ou **télécharger HackTricks en PDF**, consultez les [**PLANS D'ABONNEMENT**](https://github.com/sponsors/carlospolop)!
* Obtenez le [**swag officiel PEASS & HackTricks**](https://peass.creator-spring.com)
* Découvrez [**The PEASS Family**](https://opensea.io/collection/the-peass-family), notre collection exclusive de [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Rejoignez le** 💬 [**groupe Discord**](https://discord.gg/hRep4RUj7f) ou le [**groupe Telegram**](https://t.me/peass) ou **suivez** moi sur **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**.**
* **Partagez vos astuces de piratage en soumettant des PR aux** [**HackTricks**](https://github.com/carlospolop/hacktricks) et [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

</details>