ZeptoClaw: シンボリックリンク、TOCTOU、およびハードリンクによるパス境界チェックのバイパス

この脆弱性を悪用されると、攻撃者はワークスペース境界を回避し、ワークスペース外のファイルシステムにアクセスできる可能性があります。これにより、機密情報の漏洩、データの改ざん、さらにはシステムへの不正な書き込みといった深刻な影響が考えられます。特に、ワークスペース内のファイルが機密情報を含む場合、その情報が漏洩するリスクが高まります。この脆弱性は、類似のパス操作に関連する脆弱性と同様に、攻撃者によるシステムへの侵入を容易にする可能性があります。

Applications and systems that rely on Zeptoclaw for workspace boundary enforcement are at risk. This includes applications that handle user-uploaded files or process data from untrusted sources. Specifically, deployments using older versions of Zeptoclaw (prior to 0.7.6) and those with less stringent path validation controls are particularly vulnerable.

• rust / component: Examine Zeptoclaw's src/security/path.rs file for the checksymlinkescape function. Look for instances where symlink resolution is not properly validated before use. • generic web: Monitor file access logs for unusual patterns involving symlinks or attempts to access files outside the expected workspace directory. • generic web: Review application code for any direct calls to Zeptoclaw's path validation functions and ensure they are being used correctly.

1. 2026-03-12Disclosure

   disclosure

1. 予約済み2026-03-11
2. 公開日2026-03-12
3. 更新日2026-03-14
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずzeptoclawをバージョン0.7.6にアップデートすることを推奨します。アップデートが困難な場合は、一時的な回避策として、ワークスペース内のファイルへのアクセスを厳密に制限する設定を検討してください。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、不審なアクセスを検知し、ブロックすることも有効です。ワークスペースのパス検証ロジックを強化するカスタムルールを実装することも有効な手段となり得ます。