CVE-2013-2090 是 Creme Fraiche gem 中发现的一个严重命令注入漏洞。该漏洞允许远程攻击者通过在电子邮件附件的文件名中注入 shell 元字符来执行任意命令，从而可能导致系统被完全控制。该漏洞影响 Creme Fraiche gem 的 0.6.1 之前的版本。已发布补丁版本 0.6.1 以解决此问题。
攻击者可以利用此漏洞在目标系统上执行任意命令，从而获得对系统的完全控制权。这可能包括读取敏感数据、安装恶意软件、修改系统配置，甚至完全接管服务器。由于该漏洞可以通过电子邮件附件触发，因此攻击面非常广泛，可能影响到大量用户。攻击者可以利用此漏洞进行横向移动，攻击内部网络中的其他系统。该漏洞的潜在影响范围非常大，可能导致数据泄露、服务中断和声誉损害。
该漏洞已公开披露，并且存在公开的利用代码。虽然目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，攻击者可能会积极利用它。该漏洞已添加到 CISA KEV 目录中，表明其具有较高的风险。请密切关注安全社区的更新，并及时采取缓解措施。
Ruby applications that rely on the Creme Fraiche gem for metadata extraction, particularly those that process email attachments without proper input validation, are at significant risk. Shared hosting environments where multiple applications share the same Ruby environment are also vulnerable, as a compromise of one application could potentially affect others.
• ruby / server:
find / -name "cremefraiche.rb" -print• ruby / server:
grep -r "set_meta_data" /path/to/your/ruby/project• generic web:
Inspect email attachments for unusual filenames containing shell metacharacters (e.g., ;, |, &, $).
• generic web:
Review application logs for errors related to file processing or command execution.
discovery
disclosure
漏洞利用状态
EPSS
1.44% (81% 百分位)
最有效的缓解措施是立即将 Creme Fraiche gem 升级到 0.6.1 或更高版本。如果无法立即升级，可以考虑使用 Web 应用程序防火墙 (WAF) 来过滤包含 shell 元字符的电子邮件附件文件名。此外，应审查电子邮件处理流程，以确保附件文件名经过适当的验证和清理。如果使用代理服务器，配置代理服务器对附件文件名进行严格的过滤和验证。升级后，请验证新版本是否已正确安装，并测试应用程序以确保漏洞已成功修复。
暂无官方补丁。请查找临时解决方案或持续关注更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2013-2090 是 Creme Fraiche gem (版本低于 0.6.1) 中的一个严重命令注入漏洞，允许攻击者通过电子邮件附件文件名执行任意命令。
如果您的项目使用了 Creme Fraiche gem 的 0.6.1 之前的版本，则您可能受到此漏洞的影响。请立即检查您的 gem 版本。
将 Creme Fraiche gem 升级到 0.6.1 或更高版本。如果无法升级，请使用 WAF 或审查电子邮件处理流程。
虽然目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，攻击者可能会积极利用它。
请参考 Creme Fraiche gem 的官方安全公告：[https://github.com/jordanrowe/cremefraiche/issues/19](https://github.com/jordanrowe/cremefraiche/issues/19)
上传你的 Gemfile.lock 文件，立即知道是否受影响。