プラットフォーム
other
コンポーネント
anka-build
修正版
1.42.1
Veertu Anka Buildのバージョン1.42.0において、ログファイルのダウンロード機能にディレクトリトラバーサル脆弱性が存在します。この脆弱性は、攻撃者が認証なしでHTTPリクエストを送信することで、機密情報へのアクセスを可能にする可能性があります。影響を受けるバージョンは1.42.0であり、バージョン1.42.1へのアップデートで修正されています。
このディレクトリトラバーサル脆弱性を悪用すると、攻撃者はシステム上の機密ファイルにアクセスできる可能性があります。特に、ログファイルに保存されている情報（ユーザーデータ、システム設定、認証情報など）が危険にさらされる可能性があります。攻撃者は、この脆弱性を利用して、システム内の他のリソースへのアクセスを試み、さらなる攻撃を仕掛ける可能性があります。類似の脆弱性は、ファイルパスの検証不備から発生することが多く、攻撃者はディレクトリ構造を操作して、意図しないファイルにアクセスしようとします。
この脆弱性は2024年10月3日に公開されました。現時点では、KEV（Known Exploited Vulnerabilities）カタログには登録されていません。公的に利用可能なPoC（Proof of Concept）は確認されていませんが、ディレクトリトラバーサル脆弱性であるため、悪用される可能性は否定できません。NVD（National Vulnerability Database）およびCISA（Cybersecurity and Infrastructure Security Agency）の情報を定期的に確認し、最新の脅威動向を把握することが重要です。
Organizations utilizing Veertu Anka Build version 1.42.0, particularly those with publicly accessible log file download endpoints, are at risk. Shared hosting environments where multiple users share the same Anka Build instance are also potentially vulnerable.
disclosure
エクスプロイト状況
EPSS
5.24% (90% パーセンタイル)
CVSS ベクトル
まず、Veertu Anka Buildをバージョン1.42.1にアップデートすることが最も効果的な対策です。アップデートが利用できない場合は、ログファイルのダウンロード機能を一時的に無効化することを検討してください。また、WAF（Web Application Firewall）を導入し、ディレクトリトラバーサル攻撃を検知・防御するルールを設定することも有効です。アクセスログを監視し、異常なファイルアクセスパターンを検出することも重要です。アップデート後、ログファイルへのアクセス権限を厳格に制限し、不要なアクセスを防止してください。
Actualice a una versión parcheada de Veertu Anka Build que solucione la vulnerabilidad de path traversal. Consulte el sitio web del proveedor para obtener la última versión y las instrucciones de actualización. Aplique las actualizaciones de seguridad tan pronto como estén disponibles.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-41922は、Veertu Anka Build 1.42.0のログファイルダウンロード機能におけるディレクトリトラバーサル脆弱性です。攻撃者は認証なしでHTTPリクエストを送信することで、機密情報にアクセスできる可能性があります。
はい、Veertu Anka Buildのバージョン1.42.0を使用している場合は、この脆弱性の影響を受けます。
Veertu Anka Buildをバージョン1.42.1にアップデートすることで修正できます。アップデートが利用できない場合は、ログファイルのダウンロード機能を一時的に無効化することを検討してください。
現時点では、公的に利用可能なPoCは確認されていませんが、悪用される可能性は否定できません。
Veertuのセキュリティアドバイザリページで確認できます。詳細はVeertuの公式ウェブサイトを参照してください。