stitionai/devika におけるディレクトリトラバーサル

このディレクトリトラバーサル脆弱性は、攻撃者がdevikaサーバー上のファイルシステムを自由に探索することを可能にします。攻撃者は、'project_name'パラメータに'../'のような文字列を挿入することで、意図されたディレクトリ外のファイルにアクセスできます。これにより、設定ファイル、ソースコード、データベースダンプなど、機密性の高い情報が漏洩する可能性があります。攻撃者は、さらにこの脆弱性を悪用して、サーバー上で任意のコードを実行したり、他のシステムへの攻撃の足がかりにしたりする可能性があります。この脆弱性の影響範囲は広範囲に及び、サーバー全体のセキュリティが脅かされる可能性があります。

Organizations deploying Devika in environments with inadequate input validation or access controls are at risk. Shared hosting environments where multiple users share the same server are particularly vulnerable, as an attacker could potentially compromise other users' data through this vulnerability. Systems with legacy configurations or those lacking robust security monitoring are also at increased risk.

• linux / server: Monitor access logs for requests to /api/download-project containing suspicious characters like ../ or absolute paths. Use grep to search for these patterns.

grep 'project_name=.*\.\.' /var/log/nginx/access.log

• generic web: Use curl to test the endpoint with various payloads containing path traversal sequences.

curl 'http://your-devika-server/api/download-project?project_name=../../../../etc/passwd'

• generic web: Examine response headers for unexpected content types or file extensions that indicate unauthorized file access. • linux / server: Use auditd to monitor access to sensitive files and directories. Create an audit rule to log attempts to access files outside the intended directory.

auditctl -w / -p wa -k devika_traversal

1. 2024-06-27Disclosure

   disclosure

1. 予約済み2024-05-30
2. 公開日2024-06-27
3. 更新日2024-08-01
4. EPSS 更新日2026-04-02

現時点では、devikaの公式な修正バージョンは提供されていません。そのため、以下の緩和策を講じることを推奨します。まず、/api/download-projectエンドポイントへのアクセスを制限し、信頼できるユーザーのみがアクセスできるようにファイアウォールやアクセス制御リストを設定してください。次に、入力検証を強化し、'project_name'パラメータに不正な文字が含まれていないか厳密にチェックしてください。Webアプリケーションファイアウォール（WAF）を導入し、ディレクトリトラバーサル攻撃を検知・防御することも有効です。また、ログ監視を強化し、不審なアクセスパターンを早期に発見できるようにしてください。緩和策の実施後、アクセス制御が正しく機能しているか、入力検証が期待通りに動作しているかを確認してください。