プラットフォーム
java
コンポーネント
quarkus-openapi-generator
修正版
2.15.1
2.16.1
Quarkus OpenAPI GeneratorはQuarkusのRest Clientとサーバースタブ生成のための拡張機能です。バージョン2.16.0および2.15.0-ltsより前では、ApicurioCodegenWrapper.javaのunzip()メソッドは、解決されたファイルパスが出力ディレクトリ内に留まることを検証せずにZIPエントリを展開します。これにより、パストラバーサルシーケンスを含む悪意のあるZIPアーカイブを使用して、ターゲットディレクトリ外にファイルを書き込むことが可能です。
CVE-2026-40180 は、Quarkus OpenAPI Generator の 2.16.0 以前および 2.15.0-lts 以前のバージョンに影響します。これは、パス・トラバーサル型のセキュリティ脆弱性です。ApicurioCodegenWrapper.java コンポーネントの unzip() メソッドは、ZIP アーカイブから抽出されたファイルパスを適切に検証しません。これにより、攻撃者は、パス・トラバーサルシーケンス (例: '..') を含むファイル名を持つ悪意のある ZIP アーカイブを作成することで、意図された出力ディレクトリ外にファイルを書き込むことができます。攻撃者は、システム上の機密ファイルを上書きし、Quarkus アプリケーションの機密性と完全性を損なう可能性があります。
攻撃者は、REST クライアントまたはサーバースタブの生成プロセス中に、Quarkus OpenAPI Generator に悪意のある ZIP アーカイブを提供することで、この脆弱性を悪用する可能性があります。ZIP アーカイブには、パス・トラバーサルシーケンスを含むファイル名のエントリが含まれており、攻撃者がファイルシステム内の任意の場所にファイルを書き込むことができます。悪用の可能性は、攻撃者が Quarkus が使用する OpenAPI ファイルを制御できる能力と、ランタイム環境の構成に依存します。悪用の複雑さは比較的低く、悪意のある ZIP アーカイブを作成するだけで済みます。
Development teams using Quarkus OpenAPI Generator to automate code generation are at risk. Specifically, those using versions prior to 2.16.0 and relying on external or untrusted ZIP archives for code generation are particularly vulnerable. Shared hosting environments where multiple users can potentially influence the generated code are also at increased risk.
• java / server:
find /path/to/quarkus/output -name 'malicious.java' -print• generic web:
curl -I http://your-quarkus-app/ | grep 'Content-Type:'disclosure
エクスプロイト状況
EPSS
0.06% (18% パーセンタイル)
CISA SSVC
この脆弱性を軽減するための解決策は、Quarkus OpenAPI Generator をバージョン 2.16.0 以降にアップグレードすることです。このバージョンには、抽出されたファイルパスの適切な検証が含まれており、ファイルをターゲットディレクトリ外に書き込むことを防ぎます。Quarkus アプリケーションを保護するために、できるだけ早くこのアップデートを適用することをお勧めします。さらに、Quarkus が使用する OpenAPI ファイルのソースを確認し、悪意のある ZIP アーカイブの導入を防ぐために、信頼できるソースからのものであることを確認してください。出力ディレクトリへの厳格なアクセス制御を実装することも、潜在的な悪用による影響を軽減するのに役立ちます。
Actualice a la versión 2.16.0 o 2.15.0-lts de quarkus-openapi-generator para mitigar la vulnerabilidad de recorrido de directorios. Esta actualización corrige la validación de rutas al extraer archivos ZIP, evitando la escritura de archivos fuera del directorio de destino.
脆弱性分析と重要アラートをメールでお届けします。
パス・トラバーサル攻撃では、攻撃者が '..' などのシーケンスを使用してディレクトリ構造をナビゲートし、意図されたディレクトリ外のファイルまたはディレクトリにアクセスできます。
2.16.0 以前および 2.15.0-lts 以前のバージョンがこの脆弱性に対して脆弱です。
使用している Quarkus OpenAPI Generator のバージョンを確認してください。2.16.0 以前または 2.15.0-lts 以前の場合は、アプリケーションが脆弱です。
一時的な対策として、Quarkus OpenAPI Generator の出力ディレクトリへのアクセスを制限し、OpenAPI ファイルのソースを注意深く確認してください。
Quarkus のリリースノートを参照して、他の脆弱性とセキュリティアップデートに関する情報を確認することをお勧めします。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。
pom.xml ファイルをアップロードすると、影響の有無を即座にお知らせします。