Lychee パス・トラバーサル脆弱性

この脆弱性は、攻撃者がLycheeのサーバー上で実行されているプロセスがアクセスできるローカルファイルを読み取れることを意味します。これには、機密性の高い情報が含まれている可能性があります。例えば、環境変数にはAPIキーやデータベースのパスワードが含まれていることがあり、nginxログにはリクエスト情報やエラーメッセージが含まれています。また、ユーザーがアップロードした画像やLycheeの設定ファイルも漏洩する可能性があります。攻撃者は、これらの情報を利用して、さらなる攻撃を仕掛けたり、機密情報を盗み出したりする可能性があります。この脆弱性は、類似のファイルアクセス脆弱性と同様に、機密情報の漏洩につながる重大なリスクをもたらします。

Self-hosted Lychee installations are particularly at risk, especially those running older, unpatched versions. Shared hosting environments where multiple users share the same Lychee instance are also vulnerable, as a compromise of one user's account could potentially lead to the exposure of data belonging to other users. Administrators who have not implemented robust file access controls are also at increased risk.

• linux / server: Monitor Lychee logs (typically located in /var/log/lychee/) for unusual file access patterns or attempts to access files outside of the intended directories. Use journalctl -u lychee to review Lychee-related system logs. • generic web: Use curl to probe for potentially accessible files using path traversal sequences (e.g., curl 'http://your-lychee-instance/../../../../etc/passwd'). • generic web: Examine access logs for requests containing ../ sequences, which are indicative of path traversal attempts.

1. 2025-06-18Disclosure

   disclosure

1. 予約済み2025-06-13
2. 公開日2025-06-18
3. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、Lycheeをバージョン6.6.10にアップデートすることです。もしアップデートがすぐにできない場合は、Webアプリケーションファイアウォール（WAF）やリバースプロキシを設定して、パス・トラバーサル攻撃をブロックすることを検討してください。また、Lycheeの設定ファイルやアップロードディレクトリのアクセス権を適切に制限することも重要です。脆弱性スキャンツールを使用して、定期的にシステムをスキャンし、潜在的な脆弱性を特定することも推奨されます。アップデート後、Lycheeのバージョンを確認し、脆弱性が修正されていることを確認してください。