convert:not authorized `aaaa` @ error/constitute.c/ReadImage/453

Question

Je veux créer un pic captcha en utilisant convert de ImageMagick.

Et je suis ce mais il y a quelques problèmes.

Entrée Dans mon shell linux :

convert -background white -fill black -font FreeSerif-Bold -pointsize 36 label:'adfgh' ./test.png

L'erreur est :

convertir : non autorisé adfgh @ error/constitute.c/ReadImage/453. convert:nom de fichier d'image manquant ./test.png @ error/convert.c/ConvertImageCommand/3015

Mon ImageMagick : Version:6.7.2-7 , je l'installe avec yum install ImageMagick .

Je ne sais pas quoi faire. Un conseil, s'il vous plaît ?

Answer 1

Remarque : la solution proposée dans cette réponse et dans d'autres réponses implique la désactivation des mesures de sécurité qui sont là pour corriger les vulnérabilités d'exécution de code arbitraire. Voir par exemple ce ghostscript lié et ce qui concerne ubuntu annonce. N'avancez avec ces solutions que si l'entrée à convert provient d'une source fiable.

J'utilise ImageMagick en php (v.7.1) pour découper les fichiers PDF en images.

D'abord j'ai eu des erreurs comme :

Type d'exception : ImagickException

Message d'exception : non autorisé ..... @ error/constitute.c/ReadImage/412

Après quelques changements dans /etc/ImageMagick-6/policy.xml Je commence à avoir des erreurs comme :

Type d'exception : ImagickException

Message d'exception : impossible de créer le fichier temporaire ..... Permission refusée @ error/pdf.c/ReadPDFImage/465

Ma solution :

Dans le dossier /etc/ImageMagick-6/policy.xml (ou /etc/ImageMagick/policy.xml )

1. ligne de commentaire

   <!-- <policy domain="coder" rights="none" pattern="MVG" /> -->

2. ligne de changement

   <policy domain="coder" rights="none" pattern="PDF" />

   à

   <policy domain="coder" rights="read|write" pattern="PDF" />

3. ajouter une ligne

   <policy domain="coder" rights="read|write" pattern="LABEL" />

Puis redémarrez votre serveur web (nginx, apache).

Answer 2

J'ai utilisé plusieurs fois l'ImageMagic convert pour convertir *.tif pour *.pdf des fichiers.

Je ne sais pas pourquoi, mais aujourd'hui, j'ai commencé à recevoir l'erreur suivante :

convert: not authorized `a.pdf' @ error/constitute.c/WriteImage/1028.

Après avoir émis la commande :

convert a.tif a.pdf

Après avoir lu les réponses ci-dessus, j'ai édité le fichier /etc/ImageMagick-6/policy.xml

et a changé la ligne :

policy domain="coder" rights="none" pattern="PDF" 

à

policy domain="coder" rights="read|write" pattern="PDF"

et maintenant tout fonctionne bien.

J'ai "ImageMagick 6.8.9-9 Q16 x86_64 2018-09-28" sur "Ubuntu 16.04.5 LTS".

Answer 3

Remarque : cette solution et toute autre solution "modifier le policy.xml" désactive les mesures de sécurité contre les vulnérabilités d'exécution de code arbitraire dans ImageMagick. Si vous devez traiter des entrées que vous ne contrôlez pas à 100%, vous devez utiliser un autre programme (pas ImageMagick).

Si vous êtes toujours là, c'est que vous essayez de modifier des images dont vous avez le contrôle total, que vous savez sûres et qui ne peuvent pas être modifiées par les utilisateurs.

Il existe un /etc/ImageMagick/policy.xml qui est installé par yum. Il interdit presque tout (pour des raisons de sécurité et pour éviter que votre système ne soit surchargé d'appels ImageMagick).

Si vous obtenez un ReadImage comme ci-dessus, vous pouvez changer la ligne en :

<policy domain="coder" rights="read" pattern="LABEL" />

ce qui devrait régler le problème.

Le fichier contient un tas de documentation, vous devriez donc la lire. Par exemple, si vous avez besoin de plus de permissions, vous pouvez les combiner comme suit :

<policy domain="coder" rights="read|write" pattern="LABEL" />

...ce qui est préférable à la suppression de tous les contrôles de permissions (c'est-à-dire la suppression ou le commentaire de la ligne).

Answer 4

Si quelqu'un a besoin de le faire avec une seule commande après l'installation, exécutez ceci !

sed -i 's/<policy domain="coder" rights="none" pattern="PDF" \/>/<policy domain="coder" rights="read|write" pattern="PDF" \/>/g' /etc/ImageMagick-6/policy.xml

Answer 5

La réponse avec le plus de votes (je n'ai pas assez de réputation pour y ajouter un commentaire) suggère de commenter la ligne MVG, mais gardez à l'esprit ceci :

CVE-2016-3714

ImageMagick prend en charge les fichiers ".svg/.mvg", ce qui signifie que les attaquants peuvent code dans un langage de script, par exemple MSL (Magick Scripting Language) et MVG (Magick Vector Graphics), et le télécharger sur un serveur. langage de script, par exemple MSL (Magick Scripting Language) et MVG (Magick Vector Graphics). déguisé en fichier image, et forcer le logiciel à exécuter des commandes malveillantes malveillantes du côté du serveur, comme décrit ci-dessus. Par exemple, en ajoutant les commandes suivantes dans un fichier et de le télécharger sur un serveur web qui utilise une version vulnérable d'ImageMagick entraînera l'exécution de la commande "ls -la" sur le serveur.

exploit.jpg :

push graphic-context viewbox 0 0 640 480 fill url( https://website.com/image.png "|ls"-la)' pop graphic-context

Et

Toute version inférieure à 7.0.1-2 ou 6.9.4-0 est potentiellement vulnérable. les parties concernées doivent dès que possible mettre à niveau vers la dernière version d'ImageMagick.

Source :