CVE-2021-22205

CVE-2021-22205 Gitlab CE/EE에서 exiftool을 통한 인증 전pre-auth RCE CVE 요약 GitLab은 허용 목록whitelist에 없는 태그를 제거하기 위해 모든 tiff/jpeg/jpg 파일을 검사할 때 ExifTool을 사용합니다. 하지만 ExifTool은 파일 유형을 결정할 때 파일 확장자를 사용하지 않고 파일의 내용을 사용하므로, 공격자는 임의의 파일을 업로드하고 이를 tiff/jpeg/jpg로 이름을 바꾼 다음 ExifTool이 지원하는 파서를 "악용"할 수 있습니다. ExifTool은...