geyang ml-logger server.py log_handler パス・トラバーサル

このパストラバーサル脆弱性は、攻撃者がml-loggerがアクセスできるファイルシステム上の任意のファイルにアクセスすることを可能にします。攻撃者は、機密情報を含む設定ファイル、ログファイル、または他の重要なデータを読み取る可能性があります。さらに、攻撃者は、この脆弱性を悪用して、システム上で任意のコードを実行する可能性も否定できません。公開されているPoCが存在するため、攻撃のリスクは高くなっています。この脆弱性の悪用は、機密情報の漏洩、システムの改ざん、さらにはシステム全体の停止につながる可能性があります。

Organizations deploying ml-logger in production environments, particularly those handling sensitive data, are at risk. Environments with limited network segmentation or inadequate input validation are especially vulnerable. Shared hosting environments using ml-logger are also at increased risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -u ml-logger -g 'path traversal'

• generic web:

curl -I <ml-logger-endpoint> | grep -i 'path traversal'

1. 2025-09-25Disclosure

   disclosure

2. 2025-09-25PoC

   poc

1. 予約済み2025-09-25
2. 公開日2025-09-25
3. 更新日2025-09-26
4. EPSS 更新日2026-03-23

まず、ml-loggerをバージョン255.0.1にアップデートすることを強く推奨します。アップデートが一時的にシステムに影響を与える可能性がある場合は、ロールバック手順を事前に準備しておく必要があります。WAFやプロキシサーバーを使用している場合は、ファイルパスの正規化やアクセス制御ルールを強化することで、攻撃を軽減できる可能性があります。また、ログ監視を強化し、異常なファイルアクセスパターンを検出するためのカスタムルールを実装することも有効です。アップデート後、ログファイルや設定ファイルへのアクセス権限を再確認し、不要なアクセス権限を削除してください。