プラットフォーム
other
コンポーネント
openapi-generator
修正版
7.6.1
OpenAPI Generatorは、OpenAPI仕様に基づいてAPIクライアントライブラリ（SDK）、サーバースタブ、ドキュメント、設定を自動生成するツールです。バージョン7.6.0以前のOpenAPI Generatorには、outputFolderオプションを悪用した任意ファイルアクセス脆弱性が存在します。この脆弱性を利用されると、攻撃者は任意の書き込み可能なディレクトリからファイルを読み書きすることが可能です。バージョン7.6.0でこの問題は修正されました。
この脆弱性は、攻撃者がOpenAPI Generatorを実行しているサーバー上の任意の書き込み可能なディレクトリにアクセスし、ファイルを読み書きすることを可能にします。これにより、機密情報の漏洩、システムの改ざん、さらにはシステム全体の制御権の奪取につながる可能性があります。攻撃者は、OpenAPI Generatorの出力ディレクトリを制御することで、重要な設定ファイルやソースコードを盗み出し、悪用する可能性があります。また、攻撃者は機密情報を改ざんしたり、悪意のあるコードを挿入したりすることも可能です。この脆弱性は、OpenAPI Generatorを広く利用している組織にとって、重大な脅威となります。
この脆弱性は、公開されており、攻撃者が容易に悪用できる可能性があります。現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、早期の対策が必要です。CISAのKEVリストへの登録状況は不明です。NVDの公開日は2024年5月27日です。
Organizations and developers utilizing OpenAPI Generator for API generation, particularly those using versions prior to 7.6.0, are at risk. This includes teams relying on automated API client generation pipelines and those who have configured OpenAPI Generator to write output to user-controlled directories.
disclosure
エクスプロイト状況
EPSS
52.28% (98% パーセンタイル)
CISA SSVC
この脆弱性への最善の対応は、OpenAPI Generatorをバージョン7.6.0以降にアップデートすることです。アップデートが困難な場合は、outputFolderオプションの使用を完全に禁止するなどの対策を講じる必要があります。また、OpenAPI Generatorを実行しているサーバーのアクセス制御を強化し、不要なアクセスを制限することも重要です。WAFやプロキシサーバーを導入し、悪意のあるリクエストを検知・遮断することも有効な対策となります。アップデート後、正常に動作することを確認してください。
Actualice OpenAPI Generator a la versión 7.6.0 o superior. Esta versión corrige la vulnerabilidad de path traversal al eliminar la opción `outputFolder`. No hay workarounds disponibles, por lo que la actualización es la única solución.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-35219は、OpenAPI Generatorのバージョン7.6.0以前に存在した、攻撃者が任意のディレクトリからファイルを読み書きできる任意ファイルアクセス脆弱性です。
OpenAPI Generatorのバージョンが7.6.0以前の場合は、影響を受けます。速やかにバージョン7.6.0以降にアップデートしてください。
OpenAPI Generatorをバージョン7.6.0以降にアップデートすることで修正できます。アップデートが難しい場合は、outputFolderオプションの使用を禁止してください。
現時点では具体的な悪用事例は報告されていませんが、公開されているため、悪用される可能性はあります。
OpenAPI Generatorの公式アドバイザリは、関連するセキュリティ情報を確認してください。
CVSS ベクトル