lakeFS は、local block adapter におけるパス・トラバーサル脆弱性により、cross-namespace および sibling ディレクトリへのアクセスを許可する (github.com/treeverse/lakefs)

このパストラバーサル脆弱性は、攻撃者がlakeFSのファイルシステム構造を意図的に操作し、本来アクセスできないファイルやディレクトリにアクセスすることを可能にします。具体的には、攻撃者は他の名前空間内のデータにアクセスしたり、兄弟ディレクトリ内の機密情報を盗み出したりする可能性があります。この脆弱性が悪用されると、データの完全性が損なわれ、機密情報が漏洩するリスクがあります。攻撃者は、この脆弱性を利用して、lakeFSインスタンス内の他のコンポーネントへの攻撃の足がかりとして利用する可能性も考えられます。

Organizations using lakeFS for data lake management, particularly those with multi-tenant deployments or shared namespaces, are at increased risk. Legacy lakeFS configurations with relaxed access controls are also more vulnerable. Teams relying on lakeFS for sensitive data storage should prioritize patching.

• go / application: Inspect lakeFS configuration files for unusual path entries. Monitor lakeFS logs for suspicious file access attempts, particularly those involving .. sequences.

find /opt/lakefs/ -path "*/..*" -print

• generic web: Monitor access logs for requests containing path traversal sequences (e.g., ../../../../etc/passwd). • generic web: Check response headers for unexpected file disclosures. • generic web: Use curl to probe for directory traversal:

curl -v 'http://your-lakefs-instance/../../../../etc/passwd' 2>&1 | grep 'HTTP/1.1 200 OK'

1. 2026-02-17Disclosure

   disclosure

1. 予約済み2026-02-11
2. 公開日2026-02-17
3. 更新日2026-02-19
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、lakeFSをバージョン1.77.0以降にアップデートすることです。アップデートがすぐに適用できない場合は、ファイルシステムのアクセス制御を強化し、不要なディレクトリへのアクセスを制限することを検討してください。WAF（Web Application Firewall）を導入し、パストラバーサル攻撃のパターンを検知・ブロックするルールを設定することも有効です。また、lakeFSのログを監視し、異常なアクセスパターンを早期に発見することも重要です。