Perl · Exiftool
CVE-2021-22204
ExifTool Remote Code Execution Vulnerability
Эксплуатируется в атаках
Средняя 6,8 Вероятность атаки: >99,9%
Что это
Improper neutralization of user data in the DjVu file format in ExifTool versions 7.44 and up allows arbitrary code execution when parsing the malicious image
CISA: Improper neutralization of user data in the DjVu file format in Exiftool versions 7.44 and up allows arbitrary code execution when parsing the malicious image
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 1 декабря 2021 г.
- Добавлена в список CISA
- 17 ноября 2021 г.
- Опубликована
- 23 апреля 2021 г.
- Серьёзность
- Средняя 6,8 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- >99,9% в верхних 0,1% всех известных уязвимостей
- Тип слабости
- CWE-95
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (14)
- https://www.debian.org/security/2021/dsa-4910
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/U4RF6PJCJ6NQ…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DDKDLJLBTBBR…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/F6UOBPU3LSHA…
- https://github.com/exiftool/exiftool/commit/cf0f4e7dcd024ca99615bfd1102a841a25dde031#diff-fa0d652d10dbcd246e6…
- https://hackerone.com/reports/1154542
- https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22204.json
- http://www.openwall.com/lists/oss-security/2021/05/09/1
- http://www.openwall.com/lists/oss-security/2021/05/10/5
- http://packetstormsecurity.com/files/162558/ExifTool-DjVu-ANT-Perl-Injection.html
- https://lists.debian.org/debian-lts-announce/2021/05/msg00018.html
- http://packetstormsecurity.com/files/164768/GitLab-Unauthenticated-Remote-ExifTool-Command-Injection.html
- http://packetstormsecurity.com/files/164994/GitLab-13.10.2-Remote-Code-Execution.html
- http://packetstormsecurity.com/files/167038/ExifTool-12.23-Arbitrary-Code-Execution.html
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.