プラットフォーム
go
コンポーネント
github.com/siyuan-note/siyuan/kernel
修正版
0.0.1
0.0.1
CVE-2025-67488は、SiYuan KernelにおけるZipSlip脆弱性です。この脆弱性を悪用されると、攻撃者は任意のファイルを上書きし、リモートコードを実行する可能性があります。影響を受けるバージョンは特定されていませんが、SiYuan Kernel 3.5.0で修正されています。迅速な対応が必要です。
この脆弱性は、攻撃者がSiYuan Kernelを処理する際に悪意のあるZIPファイルをアップロードすることで悪用されます。ZipSlip脆弱性により、ZIPファイル内のファイルパスが不正に解釈され、攻撃者はシステム上の任意の場所にファイルを上書きできます。これにより、重要なシステムファイルを置き換えたり、悪意のあるコードを実行したりすることが可能となり、システム全体の制御を奪われるリスクがあります。この攻撃は、他のRCE脆弱性と同様に、機密情報の窃取、サービス妨害、さらには他のシステムへの攻撃の足がかりとして利用される可能性があります。
この脆弱性は、2025年12月15日に公開されました。現時点では、公開されているPoCは確認されていませんが、ZipSlip脆弱性は過去に多くのシステムで悪用事例が見られるため、早期の悪用が懸念されます。CISA KEVへの登録状況は不明です。攻撃者は、この脆弱性を利用して、SiYuan Kernelを動作させているシステムに侵入し、機密情報を窃取したり、システムを破壊したりする可能性があります。
Organizations and individuals using SiYuan for note-taking, knowledge management, or any application where sensitive data is stored are at risk. This includes users who rely on SiYuan for collaborative work or data sharing, as a compromised instance could expose sensitive information to unauthorized parties. Users with older, unpatched SiYuan installations are particularly vulnerable.
• linux / server:
find /opt/siyuan/ -type f -name '*.zip' -print0 | xargs -0 grep -i '\\..' # Check for double backslashes in ZIP files• go / supply-chain:
Inspect SiYuan's Go dependencies for known vulnerabilities using go mod tidy and go vet.
• generic web:
Monitor web server access logs for requests containing ZIP files with unusual or deeply nested directory structures.
• linux / server:
journalctl -u siyuan -g "zip extraction" # Look for errors related to zip extractiondisclosure
patch
エクスプロイト状況
EPSS
0.06% (18% パーセンタイル)
CISA SSVC
CVSS ベクトル
SiYuan Kernelのバージョンを3.5.0以降にアップデートすることが最も効果的な対策です。アップデートできない場合は、ZIPファイルのアップロード機能を一時的に無効にするか、厳格な入力検証を実施することでリスクを軽減できます。ZIPファイルの展開前に、ファイルパスが想定される範囲内にあることを確認するなどの対策が有効です。また、WAFやIPSなどのセキュリティデバイスを導入し、悪意のあるZIPファイルのアップロードを検知・遮断することも推奨されます。
Actualice SiYuan a la versión 3.5.0 o superior. Esta versión corrige la vulnerabilidad ZipSlip que permite la sobreescritura arbitraria de archivos. La actualización previene la posible ejecución remota de código.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-67488は、SiYuan KernelにおけるZipSlip脆弱性により、攻撃者が任意のファイルを上書きし、リモートコードを実行できる可能性のある脆弱性です。
SiYuan Kernelを使用しており、3.5.0より前のバージョンを使用している場合は、影響を受ける可能性があります。
SiYuan Kernelをバージョン3.5.0以降にアップデートしてください。
現時点では公開されているPoCはありませんが、ZipSlip脆弱性の悪用事例が多いため、早期の悪用が懸念されます。
SiYuanの公式ウェブサイトまたはセキュリティアナウンスメントをご確認ください。
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。