CVE-2021-22204
ExifTool Remote Code Execution Vulnerability
Beschreibung
CVE-2021-22204 ist eine Schwachstelle für Remote-Code-Ausführung in ExifTool, einem weit verbreiteten Perl-basierten Werkzeug zur Verarbeitung von Bild-Metadaten. Die Schwachstelle basiert auf einer unsachgemäßen Neutralisierung von Benutzerdaten im DjVu-Dateiformat und ermöglicht es Angreifern, durch eine manipulierte Bilddatei beliebigen Code auszuführen. Betroffen sind ExifTool-Versionen 7.44 bis vor 12.24. CISA hat CVE-2021-22204 in den Known Exploited Vulnerabilities-Katalog aufgenommen, was die aktive Ausnutzung bestätigt. Der EPSS-Score von 92,76 % (99,8. Perzentile) belegt eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung. Die Schwachstelle wurde unter anderem für Angriffe auf GitLab-Instanzen genutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| exiftool project | exiftool | >= 7.44, < 12.24 |
| debian | debian linux | 9.0; 10.0 |
| fedoraproject | fedora | 32; 33; 34 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/162558/ExifTool-DjVu-ANT-Perl-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/164768/GitLab-Unauthenticated-Remote-ExifTool-Command-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/164994/GitLab-13.10.2-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/167038/ExifTool-12.23-Arbitrary-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.openwall.com/lists/oss-security/2021/05/09/1(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/05/10/5(Mailing List, Third Party Advisory)
- https://github.com/exiftool/exiftool/commit/cf0f4e7dcd024ca99615bfd1102a841a25dde031#diff-fa0d652d10dbcd246e6b1df16c1e992931d3bb717a7e36157596b76bdadb3800(Patch)
- https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22204.json(Third Party Advisory)
- https://hackerone.com/reports/1154542(Exploit, Issue Tracking, Third Party Advisory)
- https://lists.debian.org/debian-lts-announce/2021/05/msg00018.html(Mailing List, Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DDKDLJLBTBBR66OOPXSXCG2PQRM5KCZL/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/F6UOBPU3LSHAPRRJNISNVXZ5DSUIALLV/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/U4RF6PJCJ6NQOVJJJF6HN6BORUQVIXY6/(Release Notes)
- https://www.debian.org/security/2021/dsa-4910(Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-22204(US Government Resource)
Schwachstellentyp
CWE-94: Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
Code Injection tritt auf, wenn eine Software ein Codesegment unter Verwendung extern beeinflusster Eingaben konstruiert, aber Spezialelemente nicht korrekt neutralisiert. Bei ExifTool wird Benutzerdaten im DjVu-Dateiformat unsachgemäß verarbeitet, was eine Perl-Code-Injection ermöglicht. Angreifer können durch eine manipulierte Bilddatei beliebigen Perl-Code im Kontext des ExifTool-Prozesses ausführen.
Weitere Informationen: CWE-94 — Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
Auswirkungsanalyse
CVE-2021-22204 hat einen CVSS 3.1-Score von 6.8 (MEDIUM), wobei die tatsächliche Bedrohung durch die aktive Ausnutzung und den hohen EPSS-Score deutlich über der mittleren Bewertung liegt. Die Schwachstelle erfordert lokalen Zugriff, hat aber eine geringe Angriffskomplexität, benötigt keine Authentifizierung und keine Benutzerinteraktion. Der Geltungsbereich ist erweitert (Scope: Changed), was bedeutet, dass die Ausnutzung auch Ressourcen außerhalb der ExifTool-Anwendung betreffen kann. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils als gering eingestuft, was die begrenzte CVSS-Bewertung erklärt. In der Praxis wird die Schwachstelle jedoch häufig über Webapplikationen wie GitLab ausgenutzt, die Bilddateien serverseitig mit ExifTool verarbeiten, wodurch die Schwachstelle remote ausnutzbar wird.
Exploit-Reifegrad
CVE-2021-22204 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt bestätigt. Umfangreicher öffentlicher Exploit-Code ist verfügbar, darunter über Packet Storm Security (DjVu ANT Perl Injection), Packet Storm Security (GitLab Unauthenticated RCE), Packet Storm Security (GitLab 13.10.2 RCE) und HackerOne. Der EPSS-Score von 92,76 % (99,8. Perzentile) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Die Schwachstelle wird aktiv für Angriffe auf GitLab-Instanzen genutzt, da GitLab ExifTool zur Bildverarbeitung einsetzt und unauthentifizierte Angreifer durch Hochladen manipulierter Bilder Remote-Code-Ausführung erlangen können.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions.
- Aktualisieren Sie ExifTool auf Version 12.24 oder höher. Überprüfen Sie alle Systeme, die ExifTool in den Versionen 7.44 bis 12.23 einsetzen, einschließlich Debian Linux (9.0, 10.0) und Fedora (32, 33, 34).
- Falls ExifTool in Webanwendungen wie GitLab zur Bildverarbeitung eingesetzt wird, aktualisieren Sie auch die Webanwendung auf eine Version, die das gepatchte ExifTool bündelt. Beschränken Sie die Verarbeitung von DjVu-Dateien, wenn diese nicht benötigt wird.
- Überwachen Sie Systeme auf Kompromittierungsindikatoren, insbesondere verdächtige Prozessausführungen im Kontext von ExifTool oder der Webanwendung. Überprüfen Sie hochgeladene Dateien auf verdächtige DjVu-Inhalte.
- Implementieren Sie langfristig eine sichere Dateiverarbeitung: Führen Sie ExifTool mit minimalen Rechten aus, verwenden Sie Sandboxing für die Bildverarbeitung und validieren Sie Dateiformate vor der Verarbeitung.
Technische Details
CVE-2021-22204 betrifft ExifTool ab Version 7.44 bis vor Version 12.24 und basiert auf CWE-94 (Code Injection). Die Schwachstelle liegt in der unsachgemäßen Neutralisierung von Benutzerdaten im DjVu-Dateiformat, wodurch eine Perl-Code-Injection möglich wird. Wenn ExifTool eine manipulierte DjVu-Datei parst, können in den ANT-Annotationen eingebettete Perl-Ausdrücke ausgeführt werden. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L zeigt einen lokalen Angriffsvektor, wobei in der Praxis die Ausnutzung häufig remote über Webanwendungen erfolgt, die Bilddateien serverseitig mit ExifTool verarbeiten. Die erweiterte Scope-Bewertung (Changed) bestätigt, dass die Code-Ausführung über den ExifTool-Prozess hinaus Auswirkungen auf das Hostsystem haben kann.
Häufig gestellte Fragen
Wird CVE-2021-22204 aktiv ausgenutzt?
Ja. CVE-2021-22204 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet und wird aktiv ausgenutzt. Zahlreiche öffentliche Exploits sind verfügbar, darunter spezifische Angriffsvektoren über GitLab-Instanzen. Der EPSS-Score von 92,76 % (99,8. Perzentile) bestätigt eine sehr hohe Ausnutzungsaktivität. Es ist keine Verwendung in Ransomware-Kampagnen bekannt.
Welche Produkte sind von CVE-2021-22204 betroffen?
CVE-2021-22204 betrifft ExifTool in den Versionen 7.44 bis vor 12.24. Zusätzlich sind Debian Linux (9.0, 10.0) und Fedora (32, 33, 34) über ihre ExifTool-Pakete betroffen. Webanwendungen wie GitLab, die ExifTool zur Bildverarbeitung einsetzen, sind indirekt ebenfalls verwundbar.
Wie behebe ich CVE-2021-22204?
Aktualisieren Sie ExifTool auf Version 12.24 oder höher. Wenn ExifTool Teil einer Webanwendung wie GitLab ist, aktualisieren Sie auch die Anwendung selbst. Deaktivieren Sie die Verarbeitung von DjVu-Dateien, falls nicht benötigt, und implementieren Sie Sandboxing für die Bildverarbeitung.
Wie schwerwiegend ist CVE-2021-22204?
CVE-2021-22204 hat einen CVSS 3.1-Score von 6.8 (MEDIUM), aber die tatsächliche Bedrohung ist deutlich höher. Die Schwachstelle wird aktiv ausgenutzt, öffentliche Exploits sind weit verbreitet, und der EPSS-Score von 92,76 % liegt in der 99,8. Perzentile. Besonders kritisch ist die Ausnutzung über Webanwendungen wie GitLab.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.