CVE-2021-22205 분석

취약점명

CVE-2021-22205 - Arbitrary Code Execution - GitLab에서 이미지 파일에 대한 검증이 미흡하여 발생하는 원격코드실행 취약점

소개

• GitLab : CI/CD 등의 기능을 제공하는 데브옵스(DevOps) 플랫폼

공격자가 악의적인 이미지(확장자 명 : jpg, jpeg, tiff)를 업로드 함으로써 원격 명령을 실행하고 서버를 제어할 수 있습니다. GitLab에 라이선스되지 않은 단점이 있기 때문에 이 취약점은 신분 검증 없이 이용할 수 있습니다.

ExifTool이 파일 확장명을 무시하고 콘텐츠를 기반으로 하는 파일을 확인하여 업로드한 파일의 이름만 바꾸면 JJPEG 및 TIFF 대신 지원되는 모든 파서가 적중되도록 허용한다는 문제점을 발견하였습니.

지원되는 형식 중 하나는 DjVu입니다. DjVu 주석을 구문 분석할 때 토큰은 “convert C escape sequences”으로 평가됩니다.

Mitre

취약점 버전

• Gitlab Community / Enterprise Edition (CE/EE)
  • 11.9 이전 버전
  • 13.9 이전 버전
  • 13.10 이전 버전

해결 방법

• 상위 버전으로 업데이트