gin-vue-admin バックグラウンド任意のコードカバレッジ脆弱性

この脆弱性を悪用されると、攻撃者はplugNameパラメータを操作することで、任意のディレクトリへのディレクトリトラバーサル攻撃を実行できます。これにより、api, config, global, model, router, service, main.goといった名前のGoファイルを指定したディレクトリ内に作成することが可能になります。さらに、作成されたGoファイルは実行される可能性があり、攻撃者はシステム上で任意のコードを実行し、機密情報を窃取したり、システムを完全に制御したりする可能性があります。この脆弱性は、バックエンドシステム全体への影響を及ぼす可能性があり、データの改ざん、不正アクセス、サービス停止などの深刻な被害につながる可能性があります。

Organizations using gin-vue-admin for their backend management systems are at risk, particularly those running older, unpatched versions. Shared hosting environments where multiple users have access to the plugin management features are especially vulnerable, as a compromised plugin could affect the entire hosting instance. Any deployment relying on the default plugin template functionality without proper input validation is also at increased risk.

• linux / server:

find /opt/gin-vue-admin/plugins/ -name '*api*.go' -o -name '*config*.go' -o -name '*global*.go' -o -name '*model*.go' -o -name '*router*.go' -o -name '*service*.go' -o -name '*main.go*' 2>/dev/null

• generic web:

curl -I 'http://your-gin-vue-admin-instance/plugins/api/some..directory.go' # Check for 403 or other error indicating traversal is blocked

1. 2024-04-09Disclosure

   disclosure

2. 2024-04-09Patch

   patch

1. 予約済み2024-04-03
2. 公開日2024-04-09
3. 更新日2024-08-02
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずgin-vue-adminをバージョン0.0.0-20240409100909-b1b7427c6ea6以上にアップデートすることを推奨します。アップデートが困難な場合は、Plugin System -> Plugin Template機能の使用を一時的に停止するか、入力値の検証を厳格化することで、攻撃のリスクを軽減できます。また、Webアプリケーションファイアウォール（WAF）やリバースプロキシを設定し、ディレクトリトラバーサル攻撃を検知・防御することも有効です。アップデート後、システムに不正なファイルが存在しないか確認し、正常に動作していることを確認してください。