プラットフォーム
go
コンポーネント
goshs
修正版
1.0.8
goshsはGoで書かれたSimpleHTTPServerです。バージョン1.0.7から2.0.0-beta.4より前では、SFTPコマンドのrenameはソースパスのみをサニタイズし、宛先をサニタイズしないため、SFTPのルートディレクトリ外への書き込みが可能です。この脆弱性はバージョン2.0.0-beta.4で修正されました。
goshs (Goで書かれたSimpleHTTPServer) の CVE-2026-40188 は、攻撃者がSFTPルートディレクトリ外にファイルを書き込むことを可能にします。これは、SFTPの'rename'コマンドにおける宛先パスのサニタイズが不十分であるために発生します。1.0.7から2.0.0-beta.4までのgoshsのバージョンがこの問題に脆弱です。攻撃者はこの脆弱性を悪用して、重要なシステムファイルを変更したり、サーバーに保存されているデータの整合性を損なう可能性があります。この脆弱性の深刻度はCVSSスケールで7.7と評価されており、重大なリスクを示しています。宛先パスの適切な検証がないため、ファイルの場所の操作が可能になり、権限昇格やサービス拒否攻撃の機会が生まれます。
この脆弱性は、SFTPプロトコルの'rename'コマンドを通じて悪用されます。SFTPサーバーにアクセスできる攻撃者は、ルートディレクトリ外を指す悪意のある宛先パスを持つ'rename'コマンドを送信できます。ソースパスのみが検証されるため、サーバーは宛先パスが許可された境界内にあるかどうかを確認しません。これにより、攻撃者は予期しない場所にファイルを上書きできます。この悪用には、SFTPサーバーへのアクセスが必要であり、これは侵害された資格情報またはシステム内の他の脆弱性を悪用することによって取得できます。
Applications built using the goshs library, particularly those handling user-supplied data or sensitive information, are at risk. This includes Go-based microservices, APIs, and command-line tools that rely on goshs for data processing. Projects using older versions of goshs (1.0.7–>= 1.0.7, < 2.0.0-beta.4) are particularly vulnerable.
• go / binary: Examine goshs library usage within Go applications. Look for instances where data is passed to goshs functions without proper validation.
// Example: Check for suspicious data manipulation
if data.ParamValue != nil && data.ParamValue.Value != nil {
// Validate data.ParamValue.Value before using it with goshs
}• generic web: Monitor application logs for unusual patterns related to data modification or unexpected behavior after data processing. • generic web: Check for unusual file modifications within the application's data directory, especially if goshs is used to manage configuration files.
disclosure
エクスプロイト状況
EPSS
0.03% (8% パーセンタイル)
CISA SSVC
この脆弱性の解決策は、goshsをバージョン2.0.0-beta.4以降にアップグレードすることです。このバージョンでは、SFTPの'rename'コマンドにおける宛先パスのサニタイズが修正され、攻撃者がルートディレクトリ外にファイルを書き込むことができなくなります。直ちにアップグレードできない場合は、SFTPサーバーへのアクセスを許可されたユーザーに制限したり、サーバーを不審な活動がないか監視するなど、追加のセキュリティ対策を講じることを検討してください。アップグレードは、この脆弱性に関連するリスクを軽減するための最も効果的な手段です。本番環境および開発環境でのアップグレードを優先してください。
Actualice goshs a la versión 2.0.0-beta.4 o superior para mitigar la vulnerabilidad. Esta versión corrige el problema de sanitización incorrecta de la ruta de destino en el comando rename de SFTP, evitando la posibilidad de escribir archivos fuera del directorio raíz.
脆弱性分析と重要アラートをメールでお届けします。
goshsは、SFTPもサポートするGoで書かれたSimpleHTTPServerです。
これはこの脆弱性のためのユニークな識別子であり、セキュリティデータベースで追跡および参照するために使用されます。
SFTPアクセスを制限し、サーバーアクティビティを監視するなど、追加のセキュリティ対策を実装してください。
はい、1.0.7から2.0.0-beta.4までのすべてのバージョンが脆弱です。
使用しているgoshsのバージョンを確認してください。2.0.0-beta.4より古い場合は、影響を受けています。
CVSS ベクトル
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。