Ne faites pas confiance aux pipelines de traitement d’images
Les bibliothèques d’images complexes prennent en charge de nombreux formats et s’appuient sur de nombreux analyseurs et composants tiers, créant ainsi une large surface d’attaque, a noté Seker. Par conséquent, les bibliothèques « devraient être traitées comme un territoire d’exécution de code non fiable ».
Le traitement des images doit être isolé dans des bacs à sable ou des conteneurs dédiés, ou limité aux travailleurs ayant un accès minimal au système de fichiers, a-t-il conseillé. Il ne devrait y avoir aucune connectivité réseau inutile ni accès aux fichiers ou aux secrets d’une application. Des listes autorisées strictes doivent être appliquées, le contenu des fichiers doit être validé par un humain et les téléchargements doivent être analysés avant d’être traités et stockés en dehors des répertoires d’applications.
Des contrôles supplémentaires devraient inclure des informations d’identification de courte durée et de portée limitée, des restrictions sur le réseau sortant, une surveillance des dépendances et de la composition des logiciels, ainsi que des tests automatisés confirmant que les codecs ou les opérations dangereuses sont désactivées après la mise à niveau, a déclaré Seker.
