Termixのパストラバーサル脆弱性、攻撃コード公開と修正版
Termix-SSHのTermix 2.9.2までに、ファイル転送の保存先を操作されるパストラバーサル脆弱性があり、攻撃コードも公開されています。運用している組織は、core v26.10.0以降かFile Managerプラグインv1.0.0以降へ更新してください。
急ぎ度: 早めに
CVSS v3は9.9、CVSS v4は9.4で、攻撃コードが公開済みですが、修正版が出ていて、KEVへの掲載は確認できていません。
関係があるか
Termixを社内やクラウド上で動かし、Webからサーバーへ接続したりファイルを転送したりしている組織が対象です。ネットワーク越しに到達でき、ログインできるアカウントがあれば悪用の対象になります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Termix-SSH Termix | 2.9.2まで | core v26.10.0 |
| Termixのスタンドアロン版File Managerプラグイン | v1.0.0より前 | v1.0.0 |
確かめ方
- 1Termixの管理画面や導入時の手順書で、動かしているcoreの版と、File Managerプラグインの版を確認します。
- 22.9.2以前のcoreを使っている場合は、修正版への更新が済んでいない状態です。2.9.2とv26.10.0のあいだの版が影響を受けるかどうかは、ベンダーの告知で確認してください。
- 3Termixがインターネットや広い社内ネットワークから到達できるかを、FWやリバースプロキシの設定で確認します。到達できる場合は優先度を上げて対応します。
何が起きたか
Termixのファイル転送機能に、転送先のパスを十分に検証しないまま処理してしまう脆弱性があります。悪用されると、本来許されていない場所へファイルを書き込まれるおそれがあります。
問題があるのは、File Managerの /plugin-api/file-manager/transferToHost というエンドポイントで、転送先を指定する引数 destPath の扱いです。分類はCWE-22のパストラバーサルです。修正版では、この処理にあった近道が取り除かれ、転送エンジンは常にSFTP経由で書き込むようになりました。
この脆弱性の攻撃コードは、すでに公開されています。
攻撃の流れ
-
1
ログイン
Termixに低い権限のアカウントでログインします。
-
2
転送要求を送る
File Managerの転送用エンドポイントに、転送先destPathを細工したリクエストを送ります。
-
3
検証をすり抜ける
転送先のパスが十分に検証されず、想定外の場所が書き込み先になります。
-
4
意図しない書き込み
Termixが動くホスト上に、許可されていない場所へファイルが書き込まれます。
どう悪用されるか
ネットワーク越しに攻撃でき、操作の複雑さは低いとされています。ログインできるアカウントが必要ですが、権限は低くても足ります。管理者や利用者に何かを操作させる必要はありません。
CVSSは、影響範囲が脆弱なコンポーネントの外にまで及ぶ（スコープが変わる）と評価しています。機密性・完全性・可用性への影響もすべて高とされており、Termixが動くホストの書き換えや停止につながるおそれがあります。Termixが多数のサーバーへ接続する立場にあることを考えると、被害がTermix単体で済まない場合も想定しておく必要があります。
今すぐやること
-
1
修正版へ更新する
coreをv26.10.0以降に更新します。File Managerプラグインを単体で使っている場合は、v1.0.0以降に更新します。更新前に設定とデータのバックアップを取ってください。
-
2
ベンダーの告知を確認する
影響を受ける版の範囲、回避策、更新手順の最新情報は、ベンダーの告知で確認します。
-
3
不審な転送の跡を調べる
リバースプロキシやアプリのログで、転送用エンドポイントへのリクエストと、転送先に不自然なパスが含まれていないかを確認します。Termixが動くホスト上に、身に覚えのないファイルや更新がないかも見ます。
-
4
到達できる範囲を絞る
Termixへのアクセスを、VPNや社内の管理用セグメント、許可したIPアドレスに限ります。使われていないアカウントは無効にします。
すぐ更新できないとき
すぐに更新できない間は、Termixへ到達できるネットワークを管理者のものだけに絞り、不要なアカウントを無効にします。ファイル転送機能を使っていない運用なら、File Managerプラグインを無効にできるかを確認してください。これらは更新までのつなぎです。
背景
Termixは、WebブラウザーからSSH接続を使ってサーバーを操作する管理ツールです。File Managerは、接続先のサーバーとのあいだでファイルをやり取りする機能にあたります。多数のサーバーへの入口をまとめて持つため、Termixが侵害されると、そこから先の機器にも影響が及ぶおそれがあります。
パストラバーサルは、ファイルの保存先や読み出し元のパスを十分に検証しないために、想定外の場所を指定できてしまう種類の脆弱性です。今回の修正は、検証を足すというより、近道の処理をなくし、書き込みを常にSFTP経由にそろえる形をとっています。
よくある質問
Q.coreとFile Managerプラグインは、どちらを更新すればよいですか。
まだ分かっていないこと
- 報告者によると、ベンダーは開示前の連絡に応答しなかったとされています。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability was identified in Termix-SSH Termix up to 2.9.2. This issue affects some unknown processing of the file /plugin-api/file-manager/transferToHost. The manipulation of the argument destPath leads to path traversal. The attack may be initiated remotely. The exploit is publicly available and might be used. The shortcut was removed in the standalone File Manager plugin v1.0.0 (transfer engine now always writes over SFTP) and in core v26.10.0. The vendor was contacted early about this disclosure but did not respond in any way.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web nvd.nist.gov
- web github.com