Goobi viewerに遠隔コード実行の欠陥、修正版あり
Summary
デジタル資料公開用のWebアプリ Goobi viewer の 24.03 以降 26.05 未満に、外部サーバーの応答を悪用されると Tomcat 上で任意のコードを実行されるおそれのある欠陥が見つかりました。自組織で Goobi viewer を運用している場合は、修正版の 26.05 へ更新してください。実際の攻撃での悪用は公表されていませんが、深刻度は最高クラスです。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
デジタル資料公開用のWebアプリ Goobi viewer の 24.03 以降 26.05 未満に、外部サーバーの応答を悪用されると Tomcat 上で任意のコードを実行されるおそれのある欠陥が見つかりました。自組織で Goobi viewer を運用している場合は、修正版の 26.05 へ更新してください。実際の攻撃での悪用は公表されていませんが、深刻度は最高クラスです。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| intranda | goobi-viewer-core | — | — |
Original description The description as published by the source.
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 24.03 to before version 26.05, ExternalFilesDownloader.getFilename() extracts the destination filename from a server-supplied Content-Disposition response header and passes it directly to Path.resolve() without stripping directory components. This allows for a malicious HTTP server that the viewer fetches from to supply an absolute path or ../ traversal sequences as the filename, writing attacker-controlled content to an arbitrary path writable by the Tomcat process. When targeting the deployed web-application directory, this yields remote code execution as the tomcat OS user. This issue has been patched in version 26.05.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- web github.com