BDU:2022-00327 (CVE-2021-22204)

Уязвимость библиотеки для обработки метаданных в файлах мультимедиа ExifTool, связанная с неверной нейтрализация особых элементов в выходных данных, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Опубликовано: 2022-01-20

Описание

Уязвимость библиотеки для обработки метаданных в файлах мультимедиа ExifTool связана с неверной нейтрализация особых элементов в выходных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально сформированных файлов DjVu

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition (1.7)ExifTool (от 7.44 до 12.24)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.1)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Для ExifTool:
использование рекомендаций производителя: https://bugs.launchpad.net/ubuntu/+source/libimage-exiftool-perl/+bug/1925985

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-22204

Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для ОСОН Основа:
Обновление программного обеспечения libimage-exiftool-perl до версии 11.16+repack2-1+deb10u1.osnova1

Для ОС ОН «Стрелец»:
Обновление программного обеспечения libimage-exiftool-perl до версии 10.40+repack-1+deb9u1.osnova1

Оценка CVSS

Балл	6.8 — высокая опасность

Источники и патчи

https://bugs.launchpad.net/ubuntu/+source/libimage-exiftool-perl/+bug/1925985 https://devcraft.io/2021/05/04/exiftool-arbitrary-code-execution-cve-2021-22204.html https://github.com/exiftool/exiftool/commit/cf0f4e7dcd024ca99615bfd1102a841a25dde031#diff-fa0d652d10dbcd246e6b1df16c1e992931d3bb717a7e36157596b76bdadb3800 https://nvd.nist.gov/vuln/detail/CVE-2021-22204 https://security-tracker.debian.org/tracker/CVE-2021-22204 https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17 https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Проверьте безопасность своего сайта и почты → Полная проверка домена