SecureDrop Client API.download_reply() におけるパス・トラバーサル

この脆弱性を悪用されると、攻撃者はSecureDrop Client仮想マシン上で任意のコードを実行できるようになります。これにより、機密情報（投稿された文書、通信記録など）が漏洩する可能性があります。さらに、攻撃者はWorkstationの他のコンポーネントへのアクセスを試み、システム全体の制御を奪うことも考えられます。SecureDropはジャーナリストの安全な情報収集を目的とするシステムであるため、この脆弱性の悪用は、情報源の保護を損ない、ジャーナリスト自身の安全を脅かす可能性があります。この攻撃パターンは、他のシステムにおける同様の脆弱性悪用と同様の潜在的な影響を及ぼします。

News organizations and journalists who rely on SecureDrop for secure communication with sources are at significant risk. Specifically, those using older versions of the SecureDrop Client (≤ 0.14.1) and those with configurations where the SecureDrop Server is not adequately secured are particularly vulnerable.

• linux / server: Monitor SecureDrop Server logs for unusual file access attempts or connections to the SecureDrop Client. Use journalctl -f to monitor for suspicious activity.

journalctl -f | grep "sd-app" 

• python: Examine SecureDrop Client application logs for any errors related to file path manipulation or access. • generic web: If the SecureDrop Server exposes any web interfaces, check for unusual file requests or directory traversal attempts in access logs.

1. 2025-02-13Disclosure

   disclosure

1. 予約済み2025-01-27
2. 公開日2025-02-13
3. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、SecureDrop Clientをバージョン0.14.1にアップデートすることです。アップデートが利用できない場合、SecureDrop Serverからの入力を厳密に検証し、不正なファイルパスが渡されないようにする必要があります。また、ネットワークセグメンテーションを強化し、SecureDrop ServerとClient間の通信を制限することも有効です。WAFやプロキシサーバーを導入し、悪意のあるリクエストをブロックすることも検討してください。アップデート後、SecureDrop Clientが正常に動作し、脆弱性が修正されていることを確認してください。