pyLoad: 暗号化された7zパスワード検証中にパス・トラバーサルによる任意のファイル削除

この脆弱性は、攻撃者がpyLoadのパスワード検証機能を悪用することで、システム上の任意のファイルを削除することを可能にします。攻撃者は、悪意のある7zアーカイブを作成し、pyLoadに処理させることで、抽出ディレクトリ外の重要なシステムファイルや設定ファイルを削除できます。これにより、システムの可用性が低下し、データ損失が発生する可能性があります。特に、pyLoadがシステム管理者の権限で実行されている場合、攻撃の影響はさらに拡大し、システム全体への影響を及ぼす可能性があります。この脆弱性は、7zアーカイブの構造を理解している攻撃者にとって、比較的簡単に悪用できる可能性があります。

Users who rely on pyLoad for downloading files and are running versions prior to 0.5.0b3.dev97 are at risk. This includes individuals and organizations using pyLoad in automated download scripts or as part of their workflow. Shared hosting environments where multiple users share the same pyLoad installation are particularly vulnerable, as a compromised archive could affect all users on the system.

• linux / server:

find / -type f -name '*.7z' -mtime +7 -print # Identify old 7z archives
journalctl -u pylload -f | grep -i "password verification" # Monitor password verification logs

• python:

import os
import hashlib
# Check for unusual file paths during password verification
# (This requires code analysis of the pyLoad source code)

• generic web: Inspect web server access logs for requests containing unusual file paths or attempts to access 7z archives from untrusted sources.

1. 2026-03-20Disclosure

   disclosure

1. 予約済み2026-03-16
2. 公開日2026-03-20
3. 更新日2026-03-25
4. EPSS 更新日2026-03-27

この脆弱性への主な対策は、pyLoadをバージョン0.5.0b3.dev97以降にアップデートすることです。アップデートできない場合は、7zアーカイブの処理を一時的に停止するか、信頼できないソースからの7zアーカイブの処理を制限することを検討してください。WAFやプロキシサーバーを使用している場合は、pyLoadへの7zアーカイブのアップロードをブロックするルールを実装することも有効です。また、ファイルシステムのアクセス権を適切に設定し、pyLoadがアクセスできるディレクトリを制限することで、攻撃の影響範囲を限定できます。