changedetection.io 不適切な入力検証により LFR/パス トラバーサル攻撃を受ける脆弱性

この脆弱性を悪用されると、攻撃者はfile:../../../etc/passwdやfile: ///etc/passwdといった文字列を介して、サーバー上の機密ファイル（設定ファイル、ソースコード、データベース情報など）を読み出すことが可能になります。特に、changedetection-ioが機密情報を扱う環境や、Webサーバーのルートディレクトリにアクセス可能な環境では、深刻な情報漏洩につながる可能性があります。攻撃者は、この脆弱性を起点に、さらなる攻撃を仕掛ける可能性も否定できません。

Users running changedetection-io versions prior to 0.48.05, particularly those deploying the application in environments with sensitive data or where the server's file system is accessible via the web. Shared hosting environments where users have limited control over the application's configuration are also at increased risk.

• python / server: Examine application logs for requests containing suspicious file paths, particularly those using ../ sequences. Use grep to search for patterns like file:../../../ in access logs. • generic web: Use curl or wget to attempt accessing files outside the intended directory structure (e.g., curl http://your-changedetection-io-instance/file:../../../etc/passwd). • python / server: Monitor process execution for unexpected file access patterns using tools like auditd or sysdig.

1. 2024-12-27Disclosure

   disclosure

1. 予約済み2024-12-26
2. 公開日2024-12-27
3. EPSS 更新日2026-04-02

まず、affectedバージョンを使用している場合は、速やかにバージョン0.48.05以上にアップデートしてください。アップデートが困難な場合は、入力値の検証を強化するカスタムフィルタを実装し、file:プロトコルを含むURLをブロックするWAFルールを適用することを検討してください。また、アクセスログを監視し、不審なファイルアクセス試行を検知することも重要です。アップデート後、ファイルパスの検証が適切に行われていることを確認してください。