Goobi viewer Core におけるパス・トラバーサル

このパス・トラバーサル脆弱性は、攻撃者がGoobi Viewer Coreが実行されているサーバー上のファイルシステムを探索することを可能にします。攻撃者は、アプリケーションサーバーのユーザーアカウントがアクセスできるファイルにアクセスし、機密情報を盗み出す可能性があります。例えば、設定ファイル、ログファイル、またはその他の機密データが含まれる可能性があります。攻撃者は、この脆弱性を利用して、サーバー上の他のアプリケーションやサービスへのアクセス権を取得し、攻撃範囲を拡大する可能性もあります。この脆弱性は、サーバーのセキュリティを著しく損なう可能性があります。

Organizations utilizing Goobi Viewer Core in production environments, particularly those with sensitive data stored on the server, are at risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as a compromised Goobi Viewer Core instance could potentially expose data belonging to other users.

• java / server:

find /var/lib/tomcat/webapps/goobi-viewer-core/ -name "*.properties"

• generic web:

curl -I 'http://your-goobi-viewer-core-url/../../../../etc/passwd' # Check for file disclosure

1. 2020-07-22Disclosure

   disclosure

1. 予約済み2020-06-25
2. 公開日2020-07-22
3. 更新日2024-08-04
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Goobi Viewer Coreをバージョン4.8.3にアップデートすることです。アップデートが利用できない場合、アプリケーションサーバーのユーザーアカウントの権限を最小限に抑えることで、攻撃の影響を軽減できます。また、WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・防御するルールを設定することも有効です。アクセスログを監視し、異常なファイルアクセスを検出することも重要です。アップデート後、アプリケーションを再起動し、バージョンが4.8.3になっていることを確認してください。