🇰🇷 한글 설명
exiftool-vendored 35.19.0 이전 버전은 ExifTool에 전달되는 사용자 입력에서 줄바꿈/캐리지 리턴 문자를 필터링하지 않아 인자 주입 공격이 가능합니다. 공격자가 제어하는 문자열을 통해 서버가 접근 가능한 파일을 읽거나 임의의 경로에 파일을 쓸 수 있습니다.
💡 쉬운 설명
이미지 메타데이터를 읽는 라이브러리에서 특수 문자를 이용해 원하지 않은 파일에 접근할 수 있는 취약점입니다. 공격자가 특정 문자를 삽입하면 프로그램이 의도와 다르게 다른 파일들을 읽거나 쓸 수 있게 됩니다.
🇺🇸 원문 (English)
exiftool-vendored provides cross-platform Node.js access to ExifTool. Prior to 35.19.0, exiftool-vendored starts ExifTool in -stay_open True -@ - mode, where arguments are read from stdin one per line. In affected versions, several caller-supplied strings were interpolated into ExifTool arguments without rejecting line delimiters. A newline or carriage return inside one of those strings could split a single intended argument into multiple ExifTool arguments, allowing argument injection. The fix also rejects NUL bytes as unsafe control characters. Applications that pass attacker-controlled strings to affected APIs may allow an attacker to make ExifTool read files accessible to the ExifTool process, or write output to attacker-chosen file system paths accessible to that process. No remote code execution has been demonstrated. This vulnerability is fixed in 35.19.0.
📍 영향받는 시스템
exiftool-vendored < 35.19.0
⚔️ 공격 벡터
사용자 제어 문자열에 줄바꿈(LF) 또는 캐리지 리턴(CR) 삽입하여 ExifTool 인자 분할 및 주입
🛡️ 대응 방법
exiftool-vendored를 35.19.0 이상으로 업그레이드 (npm update exiftool-vendored)
🔧 검증 코드
버전 번호가 35.19.0 이상이면 안전하고, 그 이하 버전이면 즉시 업그레이드 필요
npm ls exiftool-vendored 2>/dev/null | grep exiftool-vendored | head -1