谷歌VirusTotal平台曝重大RCE漏洞，可进入内网执行任意代码

最新的网络安全研究中发现，谷歌旗下著名的反病毒扫描引擎 VirusTotal 平台曝出了1个安全漏洞，该漏洞可以被武器化，以实现RCE远程代码执行。通过利用该漏洞可以在 VirusTotal 平台内远程执行命令并获得其各种扫描功能的访问权限，该漏洞目前已修复。

VirusTotal是谷歌旗下 Chronicle 安全公司的产品，是一个病毒和恶意程序扫描服务平台，可扫描分析可疑文件和URL，并集成了 70 多个第三方反病毒引擎来进行扫描。

根据中国网络安全行业门户极牛网(GeekNB.com)的梳理，攻击方法涉及通过平台的Web用户界面上传 DjVu 文件，使用它来触发对 ExifTool 中高危远程代码执行漏洞的利用，ExifTool是一个用于读取和编辑图像中 EXIF 元数据信息的开源程序和PDF文件。

该漏洞的漏洞号为 CVE-2021-22204（CVSS 评分：7.8），该高危漏洞是由 ExifTool 对 DjVu 文件处理不当引起的任意代码执行缺陷。该漏洞已在2021 年 4 月 13 日发布的安全更新中得到修复。

安全研究人员指出，通过利用该漏洞不仅可获得对谷歌控制环境的访问权限，还可获得对 50 多个具有高级权限的内部主机的访问权限。

有趣的是，每次我们上传一个包含新有效攻击载荷的新哈希文件时，VirusTotal 都会将该有效载荷转发给其他主机。所以，这不仅是一个RCE漏洞，而且它还被谷歌的服务器转发到谷歌的内部网络以及它的客户和合作伙伴网络中。

这不是 ExifTool 漏洞作为实现远程代码执行的第一次出现。去年，GitLab 修复了一个和ExifTool相关的高危漏洞（CVE-2021-22205，CVSS 分数：10.0），该漏洞与用户提供的图像验证不当有关，导致任意代码执行。