goshs: goshs POST multipart アップロードにおける、制限されたディレクトリへのパス名の不適切な制限 ('Path Traversal')

goshs (Goで書かれたシンプルなHTTPServer) のCVE-2026-35393脆弱性は、攻撃者がサーバーに任意のファイルを書き込めることを可能にします。これは、multipart POSTアップロードディレクトリにおける検証の欠如が原因です。攻撃者はこの脆弱性を悪用して、悪意のあるファイル（スクリプトや実行可能ファイルなど）をアップロードし、サーバー上で実行したり、さらなる攻撃の足がかりにしたりする可能性があります。潜在的な影響には、サーバーの乗っ取り、機密データの窃盗、サービス拒否などが含まれます。この脆弱性の深刻度はCVSSスケールで9.8と評価されており、重大なリスクを示しています。

Small to medium-sized businesses and individuals using goshs as a simple HTTP server, particularly those hosting sensitive data or running applications that rely on file uploads. Shared hosting environments that utilize goshs are also at increased risk.

• go / server: Inspect goshs server logs for POST requests with unusual filenames containing path traversal sequences (e.g., ..). • generic web: Use curl or wget to attempt uploading files with malicious filenames containing path traversal sequences and monitor server responses and file system changes.

1. 2026-04-06Disclosure

   disclosure

1. 予約済み2026-04-02
2. 公開日2026-04-06
3. 更新日2026-04-08
4. EPSS 更新日2026-04-14

この脆弱性への対策は、goshsをバージョン2.0.0-beta.3以降にアップグレードすることです。このバージョンには、multipart POSTアップロードディレクトリを適切に検証する修正が含まれており、任意のファイルの書き込みを防ぎます。直ちにアップグレードできない場合は、ファイアウォールによるサーバーへのアクセス制限や、サーバーログの不審な活動の監視など、追加のセキュリティ対策を講じることを検討してください。脆弱性の悪用リスクを軽減するために、できるだけ早くアップデートを適用することが重要です。