Perl · Exiftool
CVE-2021-22204
ExifTool Remote Code Execution Vulnerability
Explotada en ataques
Media 6,8 Probabilidad de ataque: >99,9%
Qué es
Improper neutralization of user data in the DjVu file format in ExifTool versions 7.44 and up allows arbitrary code execution when parsing the malicious image
CISA: Improper neutralization of user data in the DjVu file format in Exiftool versions 7.44 and up allows arbitrary code execution when parsing the malicious image
Qué hacer
Apply updates per vendor instructions.
Plazo para las agencias federales de EE. UU.: 1 de diciembre de 2021
- Añadida a la lista de CISA
- 17 de noviembre de 2021
- Publicada
- 23 de abril de 2021
- Gravedad
- Media 6,8 CVSS 3.1
- Probabilidad de ataques en los próximos 30 días (EPSS)
- >99,9% entre el 0,1% superior de todas las vulnerabilidades conocidas
- Debilidad
- CWE-95
- Más detalles
- NVD · CVE.org · CISA
Todas las referencias (14)
- https://www.debian.org/security/2021/dsa-4910
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/U4RF6PJCJ6NQ…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DDKDLJLBTBBR…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/F6UOBPU3LSHA…
- https://github.com/exiftool/exiftool/commit/cf0f4e7dcd024ca99615bfd1102a841a25dde031#diff-fa0d652d10dbcd246e6…
- https://hackerone.com/reports/1154542
- https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22204.json
- http://www.openwall.com/lists/oss-security/2021/05/09/1
- http://www.openwall.com/lists/oss-security/2021/05/10/5
- http://packetstormsecurity.com/files/162558/ExifTool-DjVu-ANT-Perl-Injection.html
- https://lists.debian.org/debian-lts-announce/2021/05/msg00018.html
- http://packetstormsecurity.com/files/164768/GitLab-Unauthenticated-Remote-ExifTool-Command-Injection.html
- http://packetstormsecurity.com/files/164994/GitLab-13.10.2-Remote-Code-Execution.html
- http://packetstormsecurity.com/files/167038/ExifTool-12.23-Arbitrary-Code-Execution.html
Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.