Imagetragick bug

ImageMagick nagyjából az egyik egyeduralkodó képfeldolgozó és manipuláló eszközcsomag, és mint ilyen svájcibicska jellegű eszközkészletet számtalan helyen használják, többek közt, webes szolgáltatásoknál képfeltöltések feldolgozásánál.
Az ImageMagick eszközök a számukra paraméterként átadott fileokat a kiterjesztésük és a bennük található magick byte-on alapján azonosítják. Amennyiben az file kiterjesztése és a hozzá tartozó magick byte nem egyezik úgy a magick byte alapján próbálja az ImageMagick az adott filet konvertálni. Ha az adott filetípust nem tudja kezelni úgy külső alkalmazások segítségével próbálja feldolgozható formátumba konvertálni. Ezen külső, un. delegált alkalmazások listája delegate.xml fileban található meg.
Az imagetragick bug ezen rendszert használja ki, mikor a támadó egy megfelelően preparált képfilet tölt fel a támadott oldalra, és az ImageMagick megpróbálja feldolgozni azt a magick byte alapján egy delegált alkalmazás meghívásával. A "képtartalomban" elhelyezett kód ezen külső alkalmazásban okozott hibával tud műveleteket végrehajtani.
A hiba kihasználása ellen, jelenleg, feltöltött képtartalmak magick byte-jainak ellenőrzése, hogy azok megfelelnek feltölteni/feldolgozni kívánt filetípusokéval és a policy.xml konfigurációs fileban a sérülékeny elkódolóknak a tiltásával lehet védekezni.