Perl Exiftool のリモートコード実行の脆弱性（CVE-2021-22204）

何が起きた

画像などの情報を読み取るツール ExifTool で、DjVu という形式のファイルの中のデータを安全に扱えていない弱点が見つかり、実際に悪用が確認されています。細工された画像を読み込むと、攻撃者の任意の（攻撃者が好きに選べる）プログラムを動かされるおそれがあります。NVD の評価では、攻撃は対象のコンピューターの上で行われ、利用者が細工したファイルを読み込ませるなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ExifTool を使っている人・組織や、ExifTool を組み込んだサービスが対象です。CVE の記録によると、7.44 以上、12.24 未満の ExifTool が影響を受けます。

何をすればいい

ExifTool の更新履歴では、2021年4月13日に公開された 12.24 が DjVu の読み取り部分の弱点を直すセキュリティ更新とされています。ExifTool が 12.24 以降に更新されているか確認してください。ExifTool を組み込んだ製品は、その製品の公式の案内を確認してください。

やることチェックリスト

• ExifTool の版を確かめる
• ExifTool を 12.24 以降に更新する
• ExifTool を組み込んだ製品も更新する

用語メモ

DjVu

スキャンした文書などを保存するための画像ファイルの形式です。

ExifTool

画像などのファイルに含まれる撮影日時などの情報を、読み書きするためのツールです。