heroku-buildpack-imagemagick

CVE-2022-44268 ImageMagick Arbitrary File Readで、Herokuに置いてあるアプリのImageMagickの脆弱性対策をする必要があった

Herokuのstack imageはUbuntuをベースにしていて、Ubuntuのパッケージがアップデートされれば追ってstack imageもアップデートされる

しかし、UbuntuではCVE-2022-44268の対策アップデートがしばらく来なかった

UbuntuのセキュリティアドバイザリのページではNeeds triageのままになっているけど……

というわけで、ImageMagickを独自ビルドして解決することにした

ImageMagickをインストールできるbuildpackがないか探したところ、https://github.com/ello/heroku-buildpack-imagemagick があったのでフォークして開発した

このbuildpackはImageMagickをビルドしてvendor/imagemagickに置いたあと、そのパスをPATHに追加することで、デフォルトでインストールされているImageMagickよりも優先されるようにしている

これを入れたことでslug sizeが500MB超えてしまったため、アプリ側の不要なファイルと、buildpack側でもいくつか削除した

share/docにはexample用の画像ファイルが入っていて、消すと数MB削減できる

buildpack側でMAGICK_CONFIGURE_PATHを上書きしていて、アプリ側の環境変数を見てくれなくなっていたので、消してImageMagickの設定はアプリに任せることにした

という修正をして、無事アップデートできた。buildpack便利ですね