`pyLoad` に `/json/upload` エンドポイントでパス・トラバーサル脆弱性が存在し、任意のファイル書き込みを可能にする

この脆弱性を悪用されると、攻撃者はpyLoadプロセスがアクセス可能なシステム上の任意の場所にファイルを書き込むことが可能になります。これにより、リモートコード実行（RCE）やローカル権限昇格、システム全体の侵害、そしてバックドアの設置といった深刻な結果を引き起こす可能性があります。攻撃者は、悪意のあるスクリプトや実行ファイルをアップロードし、システム上で実行することで、完全な制御を獲得する可能性があります。この脆弱性は、類似のファイルアップロード脆弱性と共通する攻撃パターンを持ち、システムへの侵入経路として利用されるリスクがあります。

Organizations running pyLoad-ng in production environments, particularly those with limited access controls or inadequate input validation, are at risk. Shared hosting environments where multiple users share the same pyLoad instance are particularly vulnerable, as a compromised user account could be leveraged to exploit this vulnerability and impact other users.

• python / server: Monitor pyLoad logs for file creation events in unexpected directories. Use journalctl -u pyload to filter for upload-related messages.

journalctl -u pyload | grep "upload" | grep ".."

• linux / server: Use lsof to identify processes accessing files outside of the intended upload directory.

lsof | grep pyload | grep "/path/to/uploads/../"

• generic web: Check access logs for requests to /json/upload with filenames containing directory traversal sequences (e.g., ../../../../etc/passwd).

grep "/json/upload.*\.\.\/\.\.\/" /var/log/apache2/access.log

1. 2025-07-21Disclosure

   disclosure

1. 予約済み2025-07-16
2. 公開日2025-07-21
3. 更新日2025-07-23
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まず、pyLoad-ngをバージョン0.5.0b3.dev90にアップデートすることを推奨します。アップデートが困難な場合は、一時的な回避策として、Webアプリケーションファイアウォール（WAF）やリバースプロキシを設定し、/json/uploadエンドポイントへの不正なファイル名操作を検知・ブロックすることが考えられます。また、pyLoadプロセスがアクセス可能なディレクトリの権限を厳格に制限し、書き込み可能なディレクトリを最小限に抑えることで、影響範囲を限定することができます。アップデート後、ファイルアップロード機能が正常に動作することを確認してください。