Opencast には UI 設定に部分的なパス・トラバーサル脆弱性があります

この脆弱性は、攻撃者がOpencastが読み取り可能なディレクトリ内の機密ファイルにアクセスする可能性があります。例えば、設定ファイル、ログファイル、またはその他の機密データが含まれている可能性があります。攻撃者は、この情報を使用してシステムをさらに侵害したり、機密情報を盗んだりする可能性があります。パストラバーサル攻撃は、通常、攻撃者がファイルパスを操作して、意図しないファイルにアクセスすることを目的としています。この脆弱性は、OpenCastのUI設定モジュールのファイルアクセス制御の不備が原因で発生します。

Organizations deploying OpenCast for video management and streaming, particularly those using legacy configurations or shared hosting environments, are at risk. Systems with default directory structures and permissive file permissions are especially vulnerable.

• linux / server:

find /etc/opencast/ui-config/ -type f -perm -o -r -print0 | xargs -0 ls -l | grep -i 'ui-config-hidden'

• java / server: Monitor OpenCast application logs for unusual file access attempts or errors related to path traversal. Look for patterns indicating attempts to access files outside the expected configuration directory. • generic web: Examine web server access logs for requests targeting the UI configuration endpoint with unusual path parameters. Look for attempts to manipulate the path to access files outside the intended directory.

1. 2025-08-29Disclosure

   disclosure

1. 予約済み2025-08-08
2. 公開日2025-08-29
3. EPSS 更新日2026-03-23

この脆弱性への対応策として、OpenCast UI設定モジュールをバージョン17.7以降にアップグレードすることを推奨します。アップグレードが困難な場合は、ファイルシステムのアクセス権を適切に設定し、Opencastがアクセスする必要のないディレクトリへのアクセスを制限してください。また、Webアプリケーションファイアウォール（WAF）を使用して、悪意のあるパストラバーサル攻撃をブロックすることも有効です。アクセスログを監視し、不審なファイルアクセス試行を検出することも重要です。アップグレード後、ファイルアクセス権が正しく設定されていることを確認してください。