Creme Fraiche には OS コマンドインジェクションの脆弱性が存在します

この脆弱性を悪用されると、攻撃者はサーバー上で任意のコマンドを実行できる可能性があります。これにより、機密情報の窃取、システムの改ざん、さらにはサーバーの完全な制御といった深刻な被害が発生する可能性があります。攻撃者は、悪意のあるスクリプトを添付ファイルとして送信し、ファイル名にシェルメタ文字を埋め込むことで、サーバー上でコマンドを実行できます。この脆弱性は、類似のファイル処理ライブラリの脆弱性と共通の攻撃パターンを持つ可能性があります。

Ruby applications that rely on the Creme Fraiche gem for metadata extraction, particularly those that process email attachments without proper input validation, are at significant risk. Shared hosting environments where multiple applications share the same Ruby environment are also vulnerable, as a compromise of one application could potentially affect others.

• ruby / server:

find / -name "cremefraiche.rb" -print

• ruby / server:

grep -r "set_meta_data" /path/to/your/ruby/project

• generic web: Inspect email attachments for unusual filenames containing shell metacharacters (e.g., ;, |, &, $). • generic web: Review application logs for errors related to file processing or command execution.

1. 2013-08-23Discovery

   discovery

2. 2017-10-24Disclosure

   disclosure

1. 公開日2017-10-24
2. 更新日2023-11-08
3. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Creme Fraiche gemをバージョン0.6.1にアップデートすることです。アップデートがすぐに利用できない場合、添付ファイルのファイル名を検証し、シェルメタ文字が含まれていないことを確認する入力検証を実装することを検討してください。また、WAF（Web Application Firewall）を使用して、悪意のあるファイル名パターンをブロックすることも有効です。アップデート後、Creme Fraiche gemのバージョンを確認し、脆弱性が修正されていることを確認してください。