transformeroptimus/superagi におけるパス・トラバーサル

このパストラバーサル脆弱性は、攻撃者がファイルシステムを自由に操作することを可能にします。攻撃者は、悪意のあるスクリプトをアップロードしてサーバー上で実行したり、重要な設定ファイルを上書きしてシステムを制御したりする可能性があります。また、機密情報を含むファイルをアップロードして盗み出すことも可能です。この脆弱性の影響範囲は広範囲に及び、サーバー全体のセキュリティが脅かされる可能性があります。類似の脆弱性は、Webアプリケーションにおけるファイルアップロード機能の不備から発生することが多く、厳重な入力検証とアクセス制御が不可欠です。

Organizations deploying SuperAGI, particularly those using the 0.0.14 version or earlier, are at risk. Shared hosting environments where SuperAGI is deployed alongside other applications are particularly vulnerable, as a successful exploit could potentially compromise other tenants on the same server. Users who have not implemented robust file upload validation and access controls are also at increased risk.

• python / server:

import os
import glob

# Check for unusual files in the upload directory
upload_dir = '/path/to/superagi/uploads/'
for file in glob.glob(upload_dir + '*'):
    if '..' in file or '../' in file:
        print(f'Potential Path Traversal: {file}')

• linux / server:

# Check for files outside the intended upload directory
find /path/to/superagi/uploads/ -type f -not -path '/path/to/superagi/uploads/*'

• generic web:

curl -I 'http://your-superagi-server/uploads/../../../../etc/passwd' # Check for directory traversal attempts

1. 2025-03-20Disclosure

   disclosure

1. 予約済み2024-10-01
2. 公開日2025-03-20
3. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずtransformeroptimus/superagiを最新バージョンにアップデートすることを推奨します。アップデートが困難な場合は、ファイルアップロード機能へのアクセスを一時的に制限するか、アップロード可能なファイルの種類を厳格に制限するなどの代替策を検討してください。Webアプリケーションファイアウォール（WAF）を導入し、パストラバーサル攻撃を検知・防御するルールを設定することも有効です。また、ファイルアップロードディレクトリへのアクセス権を最小限に制限し、定期的なセキュリティ監査を実施することで、リスクを軽減できます。