Part-DB CVE-2025-55154 Avatar Upload DoS via Misleading File Extension

重要な脆弱性情報 脆弱性の概要 脆弱性名称: アバターアップロードにおける誤解を招くファイル拡張子由来の捕捉されない例外による永続的なサービス拒否（DoS） CVE ID: CVE-2025-55154 CVSS v3 基本スコア: - 深刻度: 中 (5.7/10) - 攻撃ベクトル: ネットワーク - 攻撃複雑度: 低 - 必要な権限: 低 - ユーザーインタラクション: 必要 - 範囲: 不変 - 機密性への影響: なし - 完全性への影響: なし - 可用性への影響: 高 影響対象バージョンと修正バージョン 影響対象バージョン: = 1.17.3 脆弱性の説明 概要: Part-DB 1.17.2 には、認証済みユーザーなら誰でもプロファイル画像として誤解を招くファイル拡張子（例: .jpg.txt）を持つファイルをアップロードできる脆弱性が存在します。これにより、当該ユーザーのプロファイルを表示または編集する試みにおいて、永続的な HTTP 500 Internal Server Error が発生します。その結果、プロファイルが UI 上で恒久的にアクセス不能となり、一般ユーザーおよび管理者に対してサービス拒否（DoS）を引き起こします。 脆弱性の詳細 問題箇所: ファイル内の メソッド。 原因: 同メソッドはファイルの拡張子のみに基づいてアップロードされたファイルが有効な画像であると仮定します。ファイルが有効な画像バイナリを含んでいても拡張子が誤解を招くもの（例: .jpg.txt）の場合、処理されない例外が発生し、サムネイル生成プロセスにおいて永続的なサーバーエラーを招きます。 PoC（概念実証） 1. アバターの変更権限を持つユーザー（例：管理者またはプロファイル編集権限を持つユーザー）としてログインします。 2. にアクセスします。 3. 有効な画像ファイルを、追加の拡張子（例: .jpg.txt）付きの名前でアップロードします。 4. フォームを送信してユーザー設定を保存します。 5. に再度アクセスするか、管理パネルから影響を受けたユーザーにアクセスしようとします。 結果 どちらの操作も、一貫して HTTP 500 Internal Server Error を引き起こします。 影響 影響を受けたユーザーは、自分のプロファイル設定（ ）にアクセスできなくなり、事実上アバター関連の機能から締め出されます。 管理者は影響を受けたユーザーの表示、編集、削除ができず、ユーザーのアバターレンダリングを試みるたびに UI がクラッシュし、500 エラーが返されます。 障害状態は永続的であり、UI からは解決できません。アクセスを回復するには、ファイルシステムのクリーンアップやデータベースの修正など、手動による介入が必要です。 この問題には、リモートコード実行、権限昇格、またはデータ漏洩は伴いませんが、コア機能が損なわれ、複数のユーザーによって意図的に引き起こされた場合、管理者操作の効率性が低下する可能性があります。

目標達成すべての支援者に感謝 — 100%達成しました！

Part-DB CVE-2025-55154 Avatar Upload DoS via Misleading File Extension

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Part-DB CVE-2025-55154 Avatar Upload DoS via Misleading File Extension

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！