FerretのIO::FS::WRITEにおけるパス・トラバーサルにより、悪意のあるウェブサイトのスクレイピング時に任意のファイルを書き込める

この脆弱性は、攻撃者がFerretが処理するウェブサイトから返されるファイル名に '../' シーケンスを挿入することで、Ferretが書き込むファイルのパスを制御することを可能にします。これにより、攻撃者はCronジョブ、SSH authorized_keysファイル、シェルプロファイル、またはウェブアプリケーションのファイルなど、システム上の任意の場所にファイルを書き込むことができます。書き込まれたファイルの内容も攻撃者が制御できるため、リモートコード実行につながる可能性があります。例えば、悪意のあるスクリプトをCronジョブとして設定することで、定期的に実行されるコードを注入し、システムを制御する可能性があります。

Developers and organizations using Ferret for web scraping and data extraction are at risk. Specifically, those relying on untrusted external data sources without proper input validation are particularly vulnerable. Shared hosting environments where multiple users may be running Ferret scripts could also be affected, as an attacker could potentially compromise the entire host.

• javascript / node.js:

// Check for Ferret version
const ferretVersion = require('ferret').version;
console.log(`Ferret version: ${ferretVersion}`);
// If version < 2.0.0-alpha.4, the system is vulnerable.

• generic web:

# Check for suspicious file writes in logs
grep -r "../" /var/log/ferret/*

1. 2026-04-06Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-06
3. 更新日2026-04-07
4. EPSS 更新日2026-04-14

この脆弱性への最も効果的な対策は、Ferretをバージョン2.0.0-alpha.4以降にアップデートすることです。アップデートがすぐに利用できない場合は、ウェブスクレイピングの処理において、ファイル名に含まれる '../' シーケンスを検証し、無効化する入力検証を実装することを検討してください。また、WAF（Web Application Firewall）を使用して、悪意のあるファイル名パターンをブロックすることも有効です。Ferretの実行環境をサンドボックス化することで、攻撃の影響範囲を限定することも可能です。