image_optimizer Ruby-Gem: OS-Command-Injection über die identify-Option
Zusammenfassung
Die Ruby-Gem image_optimizer in den Versionen 1.3.0 bis 1.9.0 enthält eine OS-Command-Injection in ImageOptimizer#identify_format. Wenn die identify-Option aktiviert ist, wird ein Bildpfad mit Shell-Metazeichen, etwa ein hochgeladener Dateiname, ungeschützt an einen Shell-Befehl übergeben. Ein Angreifer, der den Pfad kontrolliert, kann beliebige Befehle mit den Rechten des Ruby-Prozesses ausführen. Die Lücke setzt die identify-Option und einen von Benutzern beeinflussbaren Pfad voraus.
Betroffen
- image_optimizer (RubyGems, jtescher) 1.3.0 bis 1.9.0
- Die Standardkonfiguration (identify-Option deaktiviert) ist gemäss CVE-Eintrag nicht betroffen.
Behoben in
Unbekannt. Es ist keine korrigierte Version bestätigt. Version 1.9.0 ist die neueste aufgeführte Version, und die OSV-Daten sind widersprüchlich.
Umgehung
- Die identify-Option deaktivieren.
- Benutzergesteuerte Dateinamen oder Pfade nicht an die Gem übergeben. Hochgeladene Dateien vor der Verarbeitung in serverseitig generierte Namen umbenennen.
- Den Ruby-Prozess mit minimalen Rechten und eingeschränktem Dateisystemzugriff betreiben.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzungsstatus 'poc', automatisierbar: ja, technische Auswirkung: total.
- Im CVE-Eintrag wird ein Proof-of-Concept-Gist referenziert.
- Eine Ausnutzung in freier Wildbahn ist nicht bestätigt.
Unsere Empfehlung
- Gemfile.lock-Dateien auf image_optimizer prüfen und kontrollieren, ob die identify-Option verwendet wird.
- identify deaktivieren oder die Gem entfernen, wenn sie nicht benötigt wird.
- Vom Benutzer gelieferte Pfade von der Gem fernhalten und auf unerwartete Prozessausführungen achten.
- Auf eine verifizierte korrigierte Version warten und nach deren Verfügbarkeit aktualisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Gist: image_optimizer OS command injection (R3tro16) gist.github.com
- GitHub: jtescher/image_optimizer github.com
- image_optimizer v1.9.0: lib/image_optimizer.rb github.com
- image_optimizer v1.9.0: lib/image_optimizer/shell.rb github.com
- VulnCheck advisory: image_optimizer 1.3.0 through 1.9.0 www.vulncheck.com
- OSV: CVE-2026-107704 osv.dev
- VulDB: CVE-2026-107704 vuldb.com
- Vulners (Rapid7): CVE-2026-107704 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:56.
Referenzen der NVD (6)
- https://gist.github.com/R3tro16/a99a058d24a06692721a6a3fade9649d
- https://github.com/jtescher/image_optimizer
- https://github.com/jtescher/image_optimizer/blob/v1.9.0/lib/image_optimizer.rb#L37-L47
- https://github.com/jtescher/image_optimizer/blob/v1.9.0/lib/image_optimizer/shell.rb#L30-L32
- https://www.vulncheck.com/advisories/image-optimizer-1.3.0-through-1.9.0-os-command-injection-via-identify-fo…
- https://gist.github.com/R3tro16/a99a058d24a06692721a6a3fade9649d
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.