Forum libero

Stavo cercando una soluzione per le vulnerabilità di imagemagick che affligge tutte le versioni recenti di PHP, anche l'ultima (8.5):

ImageMagick cve wordpress

Gemini:

Negli anni sono state identificate diverse vulnerabilità critiche (CVE) che collegano
ImageMagick a WordPress, sia attraverso la libreria di sistema stessa che tramite plugin specifici. 
Vulnerabilità del plugin "ImageMagick Engine"
Il plugin ImageMagick Engine, ampiamente utilizzato per migliorare la gestione delle immagini su WordPress, è stato oggetto di diverse segnalazioni recenti: 

    CVE-2024-6486: Una vulnerabilità di OS Command Injection nel parametro cli_path. Permette ad utenti autenticati con privilegi di amministratore di eseguire comandi arbitrari sul server.
    CVE-2022-2441: Vulnerabilità di Remote Code Execution (RCE) tramite il parametro cli_path nelle versioni fino alla 1.7.5 inclusa. Un utente malintenzionato potrebbe ingannare un amministratore (ad esempio tramite un link malevolo) per eseguire comandi sul server.
    CVE-2022-3568: Una falla di PHAR Deserialization tramite CSRF, risolta nella versione 1.7.6, che poteva portare all'esecuzione di codice remoto. 

Vulnerabilità storiche e di sistema (ImageTragick)
WordPress è stato storicamente vulnerabile a causa dell'uso della libreria ImageMagick a livello di server: 

    CVE-2016-3714 (ImageTragick): Forse la più nota, questa vulnerabilità permetteva l'esecuzione di codice remoto tramite immagini appositamente caricate. WordPress ha rilasciato la versione 4.5.2 specificamente per mitigare questo rischio.
    CVE-2023-4634: Una vulnerabilità nel plugin Media Library Assistant (versione < 3.10) che sfruttava la libreria Imagick() per ottenere RCE e inclusione di file locali. 

Azioni Consigliate
Per proteggere il tuo sito WordPress, segui queste best practice:

    Aggiorna i Plugin: Assicurati che ImageMagick Engine sia aggiornato alla versione più recente (almeno 1.7.11 o successiva).
    Configura la Security Policy: Se gestisci il server, limita i codici pericolosi nel file policy.xml di ImageMagick (disabilita ad esempio MVG, MSL, SVG, PDF).
    Aggiorna WordPress Core: Mantieni sempre l'ultima versione di WordPress per beneficiare delle patch di sicurezza integrate. 

Puoi monitorare le nuove vulnerabilità relative a questo plugin tramite il database di Wordfence Intelligence.

_____________________________________________________________________________
uso il pannello di controllo di Aruba
https://admin.aruba.it/PannelloAdmin/UI/Pages/Cont...

Gemini:Aggiornare la versione di PHP nel pannello di controllo Aruba non aggiorna i binari di sistema di ImageMagick, ma installa solo l'estensione PHP imagick compatibile. Essendo un ambiente di hosting condiviso, le librerie di sistema non sono aggiornabili direttamente dall'utente e la gestione del modulo imagick.so è legata all'interprete PHP selezionato. Per verificare la versione attiva, è possibile caricare un file PHP che invochi imagick::getVersion(). Per ulteriori dettagli, visitare Aruba Guide.
____________________________________________________________________________
si, infatti PHP(info) mi restituisce questo:
* imagick module version: 3.8.1
* Imagick using ImageMagick library version: ImageMagick 6.9.12-98 Q16 x86_64 18038

Gemini:

Sulla base dei dati forniti, la tua configurazione attuale è la seguente:

    Estensione PHP (imagick): Versione 3.8.1.
    Libreria di sistema (ImageMagick): Versione 6.9.12-98 (rilasciata intorno a ottobre 2023). 

Ecco cosa significa per la tua sicurezza su Aruba:

    Aggiornamento libreria: Su un hosting condiviso come quello di Aruba, non puoi aggiornare direttamente la libreria di sistema (ImageMagick 6.9.12-98). Questa è gestita esclusivamente dai sistemisti di Aruba a livello di server.
    Stato di sicurezza: Sebbene la serie 6.x sia considerata "legacy" rispetto alla 7.x, la versione 6.9.12-98 è relativamente recente e include le patch per le vulnerabilità storiche più critiche come ImageTragick (CVE-2016-3714). Tuttavia, sono state identificate vulnerabilità più recenti (come CVE-2025-53014 o CVE-2025-55154) che colpiscono versioni precedenti alla 6.9.13-38.
    Aggiornamento runtime PHP: Come notato in precedenza, cambiare la versione di PHP dal pannello Aruba aggiornerà l'estensione (il modulo 3.8.1), ma quasi certamente non cambierà la libreria 6.9.12-98, che rimane legata al sistema operativo del server. 

Cosa puoi fare:

    WordPress: Assicurati che eventuali plugin che utilizzano ImageMagick (come "ImageMagick Engine") siano all'ultima versione per evitare bug di integrazione.
    Monitoraggio: Se il tuo sito gestisce caricamenti di immagini da utenti non fidati, considera l'uso di plugin di sicurezza come Wordfence o Sucuri, che filtrano i tentativi di exploit prima che raggiungano la libreria ImageMagick.
    Supporto Aruba: Se necessiti di una versione specifica (es. la 7.x o una 6.x più recente) per motivi di conformità o sicurezza, l'unica via è contattare l'assistenza Aruba o valutare il passaggio a un Cloud VPS dove avresti il controllo totale sul software installato. 

Desideri che verifichi se ci sono CVE specifiche non risolte per la tua esatta versione 6.9.12-98?

______________________________________________________________________________________________
OK, quindi io non posso intervenire in quanto solo i tecnici di Aruba hanno accesso al Sistema Operativo. Grazie.

Gemini:

Esatto, hai centrato il punto. Negli ambienti di
hosting condiviso come quello di Aruba, la gestione del software di base (compilatori, librerie grafiche come ImageMagick e kernel) è sotto la loro esclusiva responsabilità.
Tuttavia, puoi ancora agire sul "contorno" per aumentare la sicurezza del tuo WordPress:

    Plugin di Sicurezza: Utilizza soluzioni come Wordfence o All In One WP Security, che possono bloccare file malevoli prima che vengano elaborati da ImageMagick.
    Disabilitazione se non necessaria: Se non hai esigenze grafiche particolari (es. generazione di PDF o manipolazioni avanzate), puoi forzare WordPress a usare la libreria GD (solitamente più limitata ma meno soggetta a exploit complessi) invece di Imagick.
    Aggiornamenti Applicativi: Mantieni sempre aggiornato il plugin ImageMagick Engine (se lo usi) dal tuo pannello WordPress, perché spesso le falle non sono nella libreria di Aruba, ma nel modo in cui il plugin le invia i dati.

Puoi monitorare lo stato dei tuoi servizi e aprire eventuali segnalazioni tecniche direttamente dal Portale Assistenza di Aruba.
Vuoi che ti mostri come forzare WordPress a usare GD al posto di ImageMagick per stare più tranquillo?

_____________________________________________________________________________________________
To be continued ....