Perl · Exiftool
CVE-2021-22204
ExifTool Remote Code Execution Vulnerability
Exploitée dans des attaques
Moyenne 6,8 Risque d'attaque : >99,9%
De quoi s'agit-il
Improper neutralization of user data in the DjVu file format in ExifTool versions 7.44 and up allows arbitrary code execution when parsing the malicious image
CISA: Improper neutralization of user data in the DjVu file format in Exiftool versions 7.44 and up allows arbitrary code execution when parsing the malicious image
Que faire
Apply updates per vendor instructions.
Échéance pour les agences fédérales américaines : 1 décembre 2021
- Ajoutée à la liste de la CISA
- 17 novembre 2021
- Publiée
- 23 avril 2021
- Gravité
- Moyenne 6,8 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- >99,9% dans les 0,1% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-95
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (14)
- https://www.debian.org/security/2021/dsa-4910
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/U4RF6PJCJ6NQ…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DDKDLJLBTBBR…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/F6UOBPU3LSHA…
- https://github.com/exiftool/exiftool/commit/cf0f4e7dcd024ca99615bfd1102a841a25dde031#diff-fa0d652d10dbcd246e6…
- https://hackerone.com/reports/1154542
- https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22204.json
- http://www.openwall.com/lists/oss-security/2021/05/09/1
- http://www.openwall.com/lists/oss-security/2021/05/10/5
- http://packetstormsecurity.com/files/162558/ExifTool-DjVu-ANT-Perl-Injection.html
- https://lists.debian.org/debian-lts-announce/2021/05/msg00018.html
- http://packetstormsecurity.com/files/164768/GitLab-Unauthenticated-Remote-ExifTool-Command-Injection.html
- http://packetstormsecurity.com/files/164994/GitLab-13.10.2-Remote-Code-Execution.html
- http://packetstormsecurity.com/files/167038/ExifTool-12.23-Arbitrary-Code-Execution.html
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.