プラットフォーム
python
コンポーネント
weblate
修正版
5.15.2
5.15.1
CVE-2025-68279は、Weblateのバージョン5.9.2以前に存在する任意ファイルアクセス脆弱性です。攻撃者は、悪意のあるシンボリックリンクをリポジトリに挿入することで、サーバー上の任意のファイルを読み出すことが可能になります。この脆弱性は、機密情報の漏洩につながる可能性があります。Weblateのバージョン5.15.1で修正されており、速やかなアップグレードが推奨されます。
この脆弱性を悪用されると、攻撃者はWeblateサーバーのファイルシステムにアクセスし、機密情報を盗み出す可能性があります。例えば、設定ファイル、データベースのバックアップ、ソースコードなどが標的となる可能性があります。攻撃者は、この脆弱性を利用して、Weblateサーバー上でコードを実行したり、他のシステムへの攻撃の足がかりにしたりする可能性も否定できません。シンボリックリンクの悪用は、他のシステムへの横展開を容易にする可能性があります。
この脆弱性は、2025年12月18日に公開されました。現時点では、公的なPoCは確認されていませんが、シンボリックリンクの悪用は一般的な攻撃手法であり、悪用される可能性はあります。CISA KEVカタログへの登録状況は不明です。Jason Marcello氏による責任ある情報開示により、脆弱性が特定されました。
Organizations using Weblate for translation management, particularly those hosting Weblate instances on shared hosting environments or with limited file system access controls, are at increased risk. Legacy Weblate configurations that haven't been regularly updated are also more vulnerable.
• python / server:
find /opt/weblate -type l -print # Check for symbolic links in Weblate directories• python / server:
journalctl -u weblate -f | grep "symbolic link" # Monitor Weblate logs for symbolic link related errors• generic web:
curl -I http://your-weblate-instance/path/to/symlink%20../sensitive_file.txt # Attempt to access a file via a crafted symbolic linkdisclosure
エクスプロイト状況
EPSS
0.07% (20% パーセンタイル)
CISA SSVC
CVSS ベクトル
Weblateのバージョン5.15.1へのアップグレードが最も効果的な対策です。アップグレードが困難な場合は、シンボリックリンクの利用を制限するファイルシステムレベルのアクセス制御を検討してください。WAF（Web Application Firewall）を導入し、悪意のあるシンボリックリンクのパターンを検出・ブロックするルールを設定することも有効です。また、リポジトリの入力検証を強化し、シンボリックリンクの挿入を防止することも重要です。アップグレード後、Weblateのログを監視し、異常なファイルアクセスがないか確認してください。
Actualice Weblate a la versión 5.15.1 o superior. Esta versión corrige la vulnerabilidad de lectura arbitraria de archivos mediante enlaces simbólicos. La actualización se puede realizar a través del gestor de paquetes de Python (pip) o siguiendo las instrucciones de actualización proporcionadas por WeblateOrg.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-68279は、Weblateのバージョン5.9.2以前に存在する、シンボリックリンクの悪用による任意ファイルアクセス脆弱性です。攻撃者は、この脆弱性を利用して、サーバー上の任意のファイルを読み出す可能性があります。
はい、Weblateのバージョン5.9.2以前を使用している場合、この脆弱性による影響を受ける可能性があります。機密情報の漏洩や、Weblateサーバーの不正利用につながる可能性があります。
Weblateのバージョン5.15.1へのアップグレードが最も効果的な修正方法です。アップグレードが困難な場合は、ファイルシステムレベルのアクセス制御やWAFの導入を検討してください。
現時点では、公的なPoCは確認されていませんが、シンボリックリンクの悪用は一般的な攻撃手法であり、悪用される可能性はあります。
Weblateの公式アドバイザリは、Weblateの公式ウェブサイトまたはセキュリティアナウンスメントで確認できます。
requirements.txt ファイルをアップロードすると、影響の有無を即座にお知らせします。