OpenViking .ovpackインポートにおけるZIPパス・トラバーサル

この脆弱性は、攻撃者がOpenVikingの.ovpackインポート機能を利用して、ファイルシステム上の任意の場所にファイルを書き込めることを意味します。攻撃者は、悪意のあるZIPアーカイブを作成し、ファイル名にパス・トラバーサルシーケンス（例：../..）や絶対パスを含めることで、意図しないディレクトリにファイルを書き込むことができます。これにより、重要な設定ファイルを上書きしたり、悪意のあるコードを実行したりする可能性があります。この脆弱性の影響範囲は広範囲に及び、システム全体のセキュリティを脅かす可能性があります。

Organizations and individuals utilizing OpenViking for package management or deployment are at risk. This includes environments where .ovpack files are imported from untrusted sources or where the OpenViking process runs with elevated privileges. Shared hosting environments where multiple users share the same OpenViking instance are particularly vulnerable.

1. 2026-03-03Disclosure

   disclosure

1. 予約済み2026-02-27
2. 公開日2026-03-03
3. 更新日2026-03-31
4. EPSS 更新日2026-03-23

OpenVikingのバージョンを46b3e76e28b9b3eee73693720c9ec48820228b72以上にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、.ovpackファイルのインポートを一時的に無効化するか、インポートされるファイルのパスを厳密に検証する仕組みを導入することを検討してください。また、WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・防御することも有効です。アップデート後、インポート機能が正常に動作することを確認してください。