Aim パス・トラバーサル (Path Traversal) の脆弱性

この脆弱性は、攻撃者がaimhubio/aimのLocalFileManager._cleanup関数において、ユーザーが指定したglobパターンを利用して、本来削除されるべきファイル以外のファイルを削除することを可能にします。具体的には、攻撃者は管理対象ディレクトリ外のファイルを指定するglobパターンを送信することで、システム上の重要なファイルを誤って削除したり、意図的に削除したりする可能性があります。これにより、データの損失、システムの停止、さらには機密情報の漏洩につながる可能性があります。この脆弱性は、ファイル管理機能に依存するアプリケーションにおいて、特に深刻な影響を及ぼす可能性があります。

Organizations and individuals utilizing aimhubio/aim versions 3.22.0 and earlier, particularly those running the tracking server in environments with limited access controls or where the file cleanup functionality is enabled without proper validation, are at significant risk. Shared hosting environments where multiple users have access to the aimhubio/aim installation are also particularly vulnerable.

• python / server:

import os
import glob

def check_file_deletion(directory, pattern):
    try:
        files = glob.glob(os.path.join(directory, pattern))
        for file in files:
            if not file.startswith(directory):
                print(f"Potential Path Traversal: File {file} outside of directory {directory}")
    except Exception as e:
        print(f"Error during glob check: {e}")

# Example usage (replace with actual directory and pattern)
directory = '/path/to/aimhubio/aim/data' # Replace with the actual data directory
patter = '*/temp/*' # Replace with the pattern being used
check_file_deletion(directory, pattern)

1. 2025-03-20Disclosure

   disclosure

1. 予約済み2024-07-17
2. 公開日2025-03-20
3. 更新日2025-03-21
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずaimhubio/aimを最新バージョンにアップデートすることが最も効果的です。アップデートが困難な場合は、ファイル削除処理における入力検証を強化し、globパターンが管理対象ディレクトリ内に存在することを確認するロジックを追加することを検討してください。また、WAF（Web Application Firewall）を導入し、悪意のあるglobパターンを検知・遮断するルールを設定することも有効です。ファイルシステムのアクセス制御を適切に設定し、攻撃者が不正なファイルにアクセスできないようにすることも重要です。アップデート後、ファイル削除機能が正常に動作することを確認してください。