Trusted Design

CVE-2021-22204 の詳細

CVEの情報

説明:
Improper neutralization of user data in the DjVu file format in ExifTool versions 7.44 and up allows arbitrary code execution when parsing the malicious image

CVE更新日: 2021-04-23 18:15:08.127000

CVSSバージョン: 3.1

CVSSスコア: 6.8

KEVの情報

KEV更新日: 2021-11-17

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999810000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: False

AIを使った解説

解説:

CVE-2021-22204は、ExifToolにおける任意のコード実行（RCE）の脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

CVE-2021-22204は、Perl製の広く使用されているメタデータ読み書き・編集ツール「ExifTool」に存在するコマンドインジェクションの脆弱性です。この脆弱性は、ExifToolがDjVuファイルフォーマットを解析する際に、ユーザー提供データを適切に無害化しないこと（特にアノテーションの「ParseAnt」関数における処理）に起因します。これにより、攻撃者は細工された画像ファイルを作成し、ExifToolがそのファイルを処理する際に任意のコマンドを実行させることが可能になります。

この脆弱性は、特にGitLab（CVE-2021-22205）との関連で注目されました。GitLabのファイルアップロード機能がメタデータ抽出のために脆弱なバージョンのExifToolを使用していたため、GitLabインスタンス上で非認証のリモートコード実行につながる可能性がありました。

1.1 影響

  • 脆弱性が悪用されると、攻撃者は影響を受けるシステム上で任意のリモートコードを実行できます。
  • ExifToolプロセスが実行されている権限で、システムを制御される可能性があります。
  • この脆弱性は、CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実際に悪用されていることが確認されています。

1.2 深刻度

  • CVSSv3スコア: 7.8（High）
    • ただし、GitLabにおける非認証RCEの文脈（CVE-2021-22205）では、一部の評価でCVSSv3スコアが10.0（Critical）とされています。
  • EPSS確率: 100.0%（特定の時点において）、これは悪用される確率が非常に高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • ExifToolのバージョン: 7.44以降（パッチ適用前のバージョン）、具体的には12.23までのバージョンが影響を受けます。
  • 影響を受ける可能性のあるLinuxディストリビューション（パッチ適用前）：
    • Debian Linux 9.0および10.0
    • Fedora 32、33、および34
    • Ubuntu 21.04、20.10、20.04 LTS、18.04 LTS、16.04 LTS（これらも後にパッチで修正されています）

2.2 影響を受ける設定

  • 本脆弱性は、ExifToolがDjVuファイルフォーマットを処理する方法、特にアノテーションデータ（ANT）を解析し、Perlのeval関数を不適切に利用している点に存在します。
  • ユーザーがアップロードした画像ファイル（特にDjVuファイル、またはExifToolがメタデータを処理するJPG、TIFF、MP4などのファイル）を処理するために、脆弱なバージョンのExifToolを組み込んでいるあらゆるアプリケーションやサービスが影響を受ける可能性があります。
  • 特に、GitLabのファイルアップロード機能は、メタデータ抽出にExifToolを使用していたため、この脆弱性の影響を強く受けました。

3. 影響を受けた時の兆候

  • システム上に、異常に大きく疑わしいANTアノテーションチャンクを持つDjVuファイルが存在する。
  • ExifToolまたは関連する画像処理サービスから、予期せぬPerlプロセスの実行が確認される。
  • アンチウイルスソフトがCVE-2021-22204の悪用を検知し、一時的な悪性ファイルが/tmpや/var/opt/gitlab/gitlab-rails/uploads/tmpに作成されている可能性がある。
  • システム上で任意のコマンドが実行された痕跡がある。

4. 推奨対策

4.1 本対策

  • ExifToolの更新: ExifToolをパッチが適用されたバージョン（12.24以降）に更新してください。
    • Debianユーザーは、DSA-4910およびDebian LTS Announcementを参照してください。
    • Fedoraユーザーは、標準のパッケージ更新メカニズムを通じてパッチを入手できます。
    • Ubuntuユーザーは、USN-4987-1およびUSN-4987-2を参照してください。
  • アプリケーションの監査: ExifToolをメタデータ抽出に組み込んでいるすべてのアプリケーションとサービスを監査してください。
  • ファイルタイプ検証の実施: 既知の安全なフォーマットのみにアップロードを制限するために、厳格なファイルタイプ検証を実装してください。

4.2 暫定回避策（緩和策）

  • DjVuファイル処理の一時的な無効化: 直ちにパッチを適用できない場合は、DjVuファイルの処理を一時的に無効にすることを検討してください。
  • DjVuファイルのブロック/隔離: Webアプリケーションファイアウォール（WAF）またはファイルアップロードハンドラーのレベルで、DjVuファイルのアップロードをブロックまたは隔離してください。
  • ExifToolのサンドボックス化: ExifToolを、システムアクセスやネットワーク接続が制限されたサンドボックス環境で実行してください。
  • 厳格な入力検証: 不審または不正なメタデータ構造を持つファイルを拒否するために、厳格な入力検証を実装してください。
  • 代替ツールの検討: パッチ適用が完了するまで、DjVuフォーマットを処理しない代替のメタデータ抽出ツールの使用を検討してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る