プラットフォーム
go
コンポーネント
github.com/coder/code-marketplace
修正版
2.4.3
1.2.3-0.20260402184705-988440dee05f
CVE-2026-35454は、github.com/coder/code-marketplaceのPath Traversal脆弱性です。この脆弱性は、悪意のあるVSIXファイルが拡張ディレクトリ外に任意のファイルを書き込めることを可能にし、潜在的に機密情報の漏洩やシステムの改ざんにつながる可能性があります。影響を受けるバージョンはv2.4.1以前ですが、バージョン1.2.3-0.20260402184705-988440dee05fで修正されています。
このPath Traversal脆弱性は、攻撃者がVSIXファイルを通じて、code-marketplaceの拡張ディレクトリ外に任意のファイルを書き込めることを意味します。攻撃者は、この脆弱性を悪用して、重要な設定ファイルを上書きしたり、悪意のあるコードを実行したり、機密情報を盗み出す可能性があります。特に、code-marketplaceが信頼できないソースからのVSIXファイルを処理する場合、この脆弱性のリスクは高まります。この脆弱性は、ZIP Slip（CWE-22）として知られる一般的な脆弱性のパターンに従っており、同様の脆弱性に対する対策が有効である可能性があります。
この脆弱性は、2026年4月4日に公開されました。現時点では、この脆弱性を悪用する公開されているPoCは確認されていませんが、Path Traversal脆弱性は一般的に悪用が容易であるため、注意が必要です。CISA KEVカタログへの登録状況は不明です。この脆弱性は、code-marketplaceのセキュリティに影響を与える可能性があり、迅速な対応が必要です。
Organizations utilizing github.com/coder/code-marketplace in their development environments, particularly those relying on VSIX file extensions for code or tool integration, are at risk. Environments with legacy configurations or those lacking robust input validation practices are especially vulnerable.
• linux / server:
find /opt/code-marketplace -name '*.zip' -exec grep -l '..\..' {} + | xargs ls -l• generic web:
curl -I 'http://your-code-marketplace-url/extensions/malicious.vsix' # Check for unusual response headers or file accessdisclosure
エクスプロイト状況
EPSS
0.08% (24% パーセンタイル)
CISA SSVC
この脆弱性への対応策として、まず、code-marketplaceをバージョン1.2.3-0.20260402184705-988440dee05f以上にアップデートすることを推奨します。アップデートが利用できない場合、信頼できないソースからのVSIXファイルの処理を一時的に停止するか、ファイルの内容を厳密に検証するカスタムの入力検証ルールを実装することを検討してください。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のあるVSIXファイルのアップロードをブロックすることも有効です。ファイルシステムのアクセス制御を強化し、code-marketplaceがアクセスできるディレクトリを最小限に抑えることも重要です。
Actualice a la versión 2.4.2 o superior para mitigar la vulnerabilidad de deslizamiento de ruta Zip. Esta actualización corrige el problema al verificar los límites de los archivos extraídos de los archivos VSIX, evitando la escritura de archivos fuera del directorio de la extensión.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-35454は、github.com/coder/code-marketplaceのPath Traversal脆弱性であり、悪意のあるVSIXファイルが拡張ディレクトリ外に任意のファイルを書き込める可能性があります。
code-marketplaceのバージョンがv2.4.1以前の場合、この脆弱性に影響を受ける可能性があります。
code-marketplaceをバージョン1.2.3-0.20260402184705-988440dee05f以上にアップデートすることを推奨します。
現時点では、この脆弱性を悪用する公開されているPoCは確認されていませんが、Path Traversal脆弱性は一般的に悪用が容易であるため、注意が必要です。
github.com/coder/code-marketplaceのリリースノートまたはセキュリティアドバイザリを参照してください。
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。