Mesop は、静的ファイル配信機能において、ローカルファイルインクルージョン (Local File Inclusion) の脆弱性を抱えています。

この脆弱性を悪用されると、攻撃者はMesopサーバー上でホストされているアプリケーションが提供する機密ファイルにアクセスできるようになります。これには、設定ファイル、ログファイル、またはアプリケーションのソースコードが含まれる可能性があります。攻撃者は、これらのファイルから機密情報を盗み出し、システムを悪用したり、さらなる攻撃の足がかりにしたりする可能性があります。特に、ファイルの内容に認証情報やAPIキーが含まれている場合、攻撃者はシステム全体へのアクセス権を取得するリスクがあります。

Organizations deploying Mesop in production environments, particularly those handling sensitive data, are at risk. Shared hosting environments where Mesop instances share resources with other applications are also at increased risk, as a compromise of one instance could potentially lead to the compromise of others. Legacy Mesop deployments running older, unpatched versions are particularly vulnerable.

• python / server:

  journalctl -u mesop -f | grep -i "file access"

• generic web:

  curl -I <mesop_endpoint> | grep -i "file:"

1. 2024-09-18Disclosure

   disclosure

2. 2024-09-18Patch

   patch

1. 予約済み2024-09-02
2. 公開日2024-09-18
3. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Mesopをバージョン0.12.4にアップデートすることです。アップデートがすぐに利用できない場合、一時的な緩和策として、Webアプリケーションファイアウォール（WAF）やリバースプロキシを使用して、不正なリクエストをブロックすることを検討してください。また、アクセス制御リスト（ACL）を適切に設定し、機密ファイルへのアクセスを制限することも有効です。Mesopのログを監視し、異常なアクセスパターンを検出することも重要です。