perfree go-fastdfs-web doInstall InstallController.java 不適切な認証

perfree go-fastdfs-webのバージョン1.3.7以前に、不適切な認証の脆弱性が検出されました。この脆弱性は、ファイルsrc/main/java/com/perfree/controller/InstallController.java内のdoInstallインターフェースに存在します。リモートの攻撃者は、この欠陥を利用して、リソースへの不正アクセスや許可されていないアクションの実行を行う可能性があります。この脆弱性の深刻度は、CVSSスケールで7.3と評価されています。この脆弱性の早期開示に対するベンダーの対応の欠如は状況を悪化させ、ユーザーを重大なリスクにさらしています。攻撃が成功すると、go-fastdfs-webシステムによって保存および管理されているデータの機密性と完全性が損なわれる可能性があります。

Organizations deploying go-fastdfs-web in production environments, particularly those with exposed instances accessible from the internet, are at significant risk. Shared hosting environments where multiple users share the same go-fastdfs-web instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others. Systems with legacy configurations or those lacking robust network security controls are especially susceptible.

• java / server:

grep -r 'doInstall' /path/to/go-fastdfs-web/src/main/java/

• generic web:

curl -I http://your-server/install | grep -i '200 OK'

• generic web:

curl -I http://your-server/install/ | grep -i '403 Forbidden'

1. 2026-04-11Disclosure

   disclosure

1. 予約済み2026-04-11
2. 公開日2026-04-11
3. 更新日2026-04-13
4. EPSS 更新日2026-04-19

ベンダーが修正を提供していないため、直ちに行うべき軽減策は、利用可能な場合はgo-fastdfs-webのより新しいバージョンにアップグレードすることです。アップグレードが不可能な場合は、go-fastdfs-webを実行している環境で厳格なアクセス制御を実装することをお勧めします。これには、ファイアウォールの構成、doInstallインターフェースへのアクセスを承認されたユーザーのみに制限すること、およびシステムの活動を継続的に監視して、exploitの兆候がないか確認することが含まれます。さらに、潜在的な攻撃に対する多層防御を確保するために、既存のセキュリティポリシーをレビューおよび強化することをお勧めします。ベンダーの対応の欠如は、自己防衛と積極的なセキュリティプラクティスの重要性を強調しています。