FileMeganeの3.0.0.0より高く、3.4.0.0より前のバージョンにサーバーサイドリクエストフォージェリ (SSRF) の脆弱性が存在します。任意のバックエンドWeb APIリクエストを実行することで、サービスを再起動させる可能性がある。

このSSRF脆弱性は、攻撃者がFileMeganeサーバーを介して内部ネットワークリソースにアクセスすることを可能にします。攻撃者は、機密情報を含むバックエンドAPIを呼び出すことで、認証情報を盗んだり、設定データを取得したりする可能性があります。さらに、攻撃者は脆弱性を悪用して、FileMeganeサービスを再起動させ、サービス停止を引き起こす可能性があります。この脆弱性は、内部ネットワークへのアクセス権限がない攻撃者にとっても、内部リソースへの探索の足がかりとなる可能性があります。

Organizations deploying FileMegane versions 3.0.0.0 through 3.3.9.9 are at risk. This includes environments where FileMegane is used for file sharing or document management, particularly those with limited network segmentation or weak outbound access controls.

1. 2025-02-17Disclosure

   disclosure

1. 予約済み2025-02-03
2. 公開日2025-02-17
3. 更新日2025-02-18
4. EPSS 更新日2026-04-02

FileMeganeのバージョンを3.4.0.0以降にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートが困難な場合は、WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・ブロックするルールを設定することを推奨します。また、FileMeganeの設定において、アクセス可能なバックエンドAPIを制限するなどの緩和策を講じることも有効です。アップデート後、FileMeganeのログを確認し、異常なリクエストがないか確認することで、脆弱性の悪用を検証できます。