CVE-2021-22204 - Exiftool リモートコード実行

説明

最近、研究者の wcbowling 氏が Exiftool ツールに脆弱性を発見しました。これにより、悪意のある攻撃者がリモートコード実行攻撃を行うことが可能になります。この脆弱性は GitLab のバグバウンティプログラムで発見されたもので、同プログラムではこのツールを製品の依存関係として使用しています。

使用方法

12行目（createFile.sh）に、自身の攻撃者マシンのIPアドレスを入力してください。

その後、次のコマンドを実行するだけです:

$ bash createFile.sh

これにより、悪意のあるファイル shell.djvu が作成されます。exiftool を使用すると、リモートコード実行が可能になります:

$ sudo /usr/local/bin/exiftool shell.djvu