files-bucket-server に Directory Traversal の脆弱性があります

このDirectory Traversal脆弱性は、攻撃者がファイルシステム内の機密情報にアクセスする可能性を秘めています。例えば、設定ファイル、ログファイル、または他のアプリケーションのデータファイルなどが盗まれる可能性があります。攻撃者は、この脆弱性を利用して、サーバー上で任意のコードを実行したり、他のシステムへの攻撃の足がかりにしたりすることも考えられます。ファイルシステムのアクセス権限によっては、攻撃範囲は広がる可能性があります。

Applications and services relying on files-bucket-server for file storage or retrieval are at risk. This includes systems with older, unpatched installations of files-bucket-server, particularly those deployed in environments with permissive file system permissions or shared hosting configurations.

• nodejs / server:

  find /path/to/files-bucket-server -type f -name "*..*"

• generic web:

  curl -I 'http://your-server/../../../../etc/passwd' # Check for sensitive file access

1. 2025-07-23Disclosure

   disclosure

1. 予約済み2025-07-22
2. 公開日2025-07-23
3. 更新日2025-09-26
4. EPSS 更新日2026-03-23

この脆弱性に対する最も効果的な対策は、files-bucket-serverを最新バージョンにアップデートすることです。アップデートがすぐに利用できない場合は、ファイルアクセスを制限するWAFルールやプロキシ設定を検討してください。また、ファイルパスの検証を厳格化し、不正なファイルアクセスを防止する対策を講じることが重要です。ファイルシステムへのアクセスログを監視し、不審なアクセスを早期に検出することも有効です。