CVE-2021-22205

CVE-2021-22205 GitLab CE/EE における exiftool 経由の Preauth RCE 脆弱性の概要 GitLab は ExifTool を使用して、すべての tiff/jpeg/jpg ファイルをスキャンし、ホワイトリストに登録されていないタグを削除します。 しかし、ExifTool はファイル拡張子ではなくファイルの内容でファイルタイプを判別するため、攻撃者は任意のファイルをアップロードし、それを tiff/jpeg/jpg にリネームして、ExifTool がサポートする任意のパーサーを「悪用」することができます。 DjVu...