在4.9.4之前的MiniMagick的lib / mini_magick / image.rb中，获取的远程映像文件名可能导致远程命令执行

CVE编号

CVE-2019-13574

利用情况

暂无

补丁情况

官方补丁

披露时间

2019-07-12

漏洞描述

在4.9.4之前的MiniMagick中的lib / mini_magick / image.rb中，获取的远程图像文件名可能导致远程命令执行，因为Image.open输入直接传递给Kernel＃open，它接受“|”字符后跟一个命令。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://benjamin-bouchet.com/blog/vulnerabilite-dans-la-gem-mini_magick-versi...
https://github.com/minimagick/minimagick/commit/4cd5081e58810d3394d27a67219e8...
https://github.com/minimagick/minimagick/compare/d484786...293f9bb
https://github.com/minimagick/minimagick/releases/tag/v4.9.4
https://lists.debian.org/debian-lts-announce/2019/10/msg00007.html
https://seclists.org/bugtraq/2019/Jul/20
https://www.debian.org/security/2019/dsa-4481

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	minimagick_project	minimagick	*		Up to (excluding) 4.9.4
	运行在以下环境
	系统	debian_10	ruby-mini-magick	*		Up to (excluding) 4.9.2-1+deb10u1
	运行在以下环境
	系统	debian_8	ruby-mini-magick	*		Up to (excluding) 3.8.1-1+deb8u1
	运行在以下环境
	系统	debian_9	ruby-mini-magick	*		Up to (excluding) 4.5.1-1+deb9u1

阿里云评分 2.9

• 攻击路径 本地
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-78 OS命令中使用的特殊元素转义处理不恰当（OS命令注入）