Comment WordPress est touché ?

Des images sont téléchargées via le backoffice ou le FrontOffice contenant des données malveillantes et qui pourront par la suite être exploitées via la bibliothèque de ImageMagick. Tous les utilisateurs qui ont les droits de téléversement d'images sont susceptibles d'être des vecteurs d'infection de cette vulnérabilité. Cette vulnérabilité permet de faire exécuter de code à distance (RCE).

C'est un peu comme la faille du composant JCE de Joomla qui avait été découverte il y a quelques années et qui a exploitée pour infecter des milliers de serveurs. Jusqu'à aujourd'hui la faille de JCE continue d'être exploitée.
Comment savoir si mon WordPress est vulnérable ?

Si vous n'avez pas le contrôle sur votre environnement d'hébergement alors il est probable que votre hébergeur est en train de prendre des mesures pour résoudre le problème. Nous vous recommandons de vérifier auprès de votre hébergeur que cette vulnérabilité soit en cours de résolution.

Seuls les sites WordPress qui ont l'extension PHP Imagick installé sont vulnérables à cet exploitation. Si vous ne savez pas si votre serveur a cette extension PHP, il y a des façons de vérifier:

• Inspectez la réponse de la fonction phpinfo ( ) au niveau de "Imagick".
• Exécutez la ligne de commande : -m php | grep imagick

ImageMagick 6.9.3-10

ImageMagick a publié une mise à jour le 03/05/2016 pour résoudre des problèmes; Cependant, il y a des questions qui se posent autour de cette mise à jour fournie car il semblerait que ce ne soit pas une solution qui concerne cette vulnérabilité. Au moment où nous rédigeons cet article il est impossible de l'affirmer avec certitude. Nous vous invitons donc à prendre des mesures pour vous prémunir d'une éventuelle attaque.

Dois-je intervenir sur mon serveur ?

• Serveurs mutualisés (cPanel, Managed WordPress, Plesk): Non
• VPS ou Serveurs Dédiés avec cPanel: Non (la mise à jour est automatique)
• VPS ou Serveurs Dédiés sans cPanel: OUI
• Serveurs Cloud: OUI

ATTENTION : Si la mise à jour automatique de cPanel est "OFF", vous êtes vulnérable.

Comment vous protéger de la vulnérabilité ImageMagick ?

Pour vous protéger de cette vulnérabilité, vous devez localiser et modifier le fichier policy.xml de ImageMagick.

Connectez vous à votre serveur en SSH

Plus d'informations ici
Localisez le fichier policy.xml de ImageMagick

Le chemin vers le fichier doit différer selon le systéme d'exploitation utilisé:

• Ubuntu, Debian 7, CentOS, RHEL et Arch Linux: /etc/ImageMagick/policy.xml
• Debian 8 et Fedora: /etc/ImageMagick-6/policy.xml
• FreeBSD: /usr/local/etc/ImageMagick-6/policy.xml
• CentOS 6 avec cPanel/WHM: /usr/local/cpanel/3rdparty/etc/ImageMagick-6/policy.xml

Ouvrez et modifiez le fichier policy.xml

Utilisez la commande suivant pour pouvoir le modifier: sudo vim /etc/ImageMagick/policy.xml

Ajoutez les informations suivantes:

<policymap>

section of the file:

<policy domain="coder" rights="none" pattern="EPHEMERAL" />
<policy domain="coder" rights="none" pattern="URL" />
<policy domain="coder" rights="none" pattern="HTTPS" />
<policy domain="coder" rights="none" pattern="MVG" />
<policy domain="coder" rights="none" pattern="MSL" />
<policy domain="coder" rights="none" pattern="TEXT" />
<policy domain="coder" rights="none" pattern="SHOW" />
<policy domain="coder" rights="none" pattern="WIN" />
<policy domain="coder" rights="none" pattern="PLT" />

Enregistrez les modifications

Utilisez la commande: :wq!

Une fois les changements enregistrés et les services redémarrés, votre serveur devient invulnérable à la faille ImageMagick.

Sur les autres systèmes Linux

Vous devez garder à l'esprit que la bibliothèque ImageMagic est utilisée par un grand nombre de langages de programmation tels que PHP, Python, Ruby, Node.js, etc.

Si vous n'êtes pas sûr de savoir comment faire les changements , ou si les changements ont une incidence sur votre système, n'hésitez pas à nous contacter, il nous fera plaisir de pouvoir vous aider.