CodeIgniter4’s ImageMagick Handler heeft Command Injection Kwetsbaarheid (CVE-2025-54418)

Een ernstige beveiligingsfout, CVE-2025-54418, bedreigt CodeIgniter4-applicaties. Deze kwetsbaarheid in de ImageMagick-handler kan aanvallers toegang geven tot uw systeem zonder tussenkomst van gebruikers. Met een CVSS-score van 9.8 is het onmiskenbaar kritiek, vooral voor systemen die beelden verwerken of tekst toevoegen met imagick.

De kwetsbaarheid maakt het mogelijk voor aanvallers om shell-commando’s te injecteren wanneer ze afbeeldingen uploaden via kwetsbare handlers. Dit betekent dat een aanvaller zonder uw weten toegang kan krijgen tot uw netwerk en mogelijk aanzienlijke schade kan aanrichten.

Overzicht

CodeIgniter is een PHP full-stack webframework, en de command-injectie kwetsbaarheid treft alle versies voor 4.6.2. Systemen die de ImageMagick-handler gebruiken, zijn vooral kwetsbaar als ze bestanduploads toestaan met gebruikersgestuurde bestandsnamen of tekstinhoud verwerken.

Aanbevelingen

• Upgrade naar versie 4.6.2 of hoger om deze kwetsbaarheid te patchen.
• Als tijdelijke oplossing, gebruik de GD image handler (gd), de standaard handler die immuun is voor deze kwetsbaarheid.
• Vermijd het gebruik van gebruikersgestuurde bestandsnamen bij uploads. Gebruik in plaats daarvan gegenereerde veilige bestandsnamen met getRandomName() of de store() methode.
• Bij gebruik van de functie text() met gebruikersgestuurde tekst, zorg ervoor dat de invoer gesaneerd is om alleen veilige tekens toe te staan.

Bronnen

• Beveiligingsadvies op GitHub
• Betrokken commit
• CWE-78 Beschrijving
• OWASP: Command Injection

Vraag en Antwoord

Wat is CVE-2025-54418?

Het betreft een command-injectie kwetsbaarheid die van invloed is op CodeIgniter4 versie voor 4.6.2. Deze kwetsbaarheid stelt een aanvaller in staat shellcommando’s uit te voeren via kwaadaardige bestandsnamen of tekst.

Welke systemen zijn kwetsbaar voor CVE-2025-54418?

Systemen die CodeIgniter4 met ImageMagick gebruiken, voornamelijk bij gebruik van beeldverwerking met gebruikersgestuurde invoer. Versies voor 4.6.2 zijn kwetsbaar.

Bestaat er al een patch of beveiligingsupdate?

Ja, gebruikers moeten updaten naar versie 4.6.2 of hoger om beschermd te zijn tegen deze kwetsbaarheid.

Wat kan een aanvaller met deze kwetsbaarheid?

Een aanvaller kan shell-commando’s injecteren en potentieel schadelijke handelingen verrichten zoals het verwijderen van bestanden, toegang verkrijgen tot gevoelige gegevens, en de integriteit van het systeem schaden.