PT-2022-2570 · Unknown+2 · Image Processing+3

Janko · Publicado 2022-03-01 · Atualizado 2025-10-05 · CVE-2022-24720

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do image processing anteriores à 1.12.2

Versões do ruby-image-processing anteriores à 1.10.3-1+deb11u1

Descrição

A biblioteca image processing, um wrapper para libvips e ImageMagick/GraphicsMagick, contém uma falha em que entradas de usuário não sanitizadas passadas para o método #apply podem levar à execução remota de código. Isso ocorre porque a biblioteca não neutraliza adequadamente elementos especiais usados em comandos do sistema operacional. O problema afeta também as variantes do Active Storage, uma vez que elas chamam internamente esse método. A exploração dessa falha poderia permitir que um invasor remoto executasse comandos de shell arbitrários.

Pontos de extremidade da API: Não são mencionados pontos de extremidade específicos da API.

Parâmetros ou variáveis vulneráveis: operations

Nomes de funções: ImageProcessing::Vips.apply()

Recomendações

Atualize o image processing para a versão 1.12.2 ou posterior.

Atualize o ruby-image-processing para a versão 1.10.3-1+deb11u1 ou posterior.

Se você estiver processando imagens com base na entrada do usuário, sempre sanitize a entrada, permitindo apenas um conjunto restrito de operações.

Exploit

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

CWE-20

Identificadores relacionados

BDU:2022-03011

CVE-2022-24720

DSA-5310-1

GHSA-CXF7-QRC5-9446

USN-6675-1

Produtos afetados

Active Storage

Linuxmint

Ubuntu

Image Processing

Referências · 24

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24720.json · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/image_processing/CVE-2022-24720.yml · Exploit
• 🔥 https://github.com/janko/image_processing/security/advisories/GHSA-cxf7-qrc5-9446 · Exploit
• https://github.com/janko/image_processing/commit/038e4574e8f4f4b636a62394e09983c71980dada · Correção
• https://github.com/janko/image_processing · Nota
• https://ubuntu.com/security/CVE-2022-24720 · Aviso do Fabricante
• https://twitter.com/PentesterLab/status/1963761574411370988 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2022-24720 · Nota de Segurança
• https://bdu.fstec.ru/vul/2022-03011 · Nota de Segurança
• https://t.me/cvenotify/41064 · Publicação no Telegram
• https://osv.dev/vulnerability/DSA-5310-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-cxf7-qrc5-9446 · Aviso do Fabricante
• https://debian.org/security/2022/dsa-5310 · Aviso do Fabricante
• https://safe-surf.ru/specialists/bulletins-nkcki/676198 · Nota de Segurança
• https://ubuntu.com/security/notices/USN-6675-1 · Aviso do Fabricante