重要な脆弱性情報 タイトル 脆弱性名称：fastapiadmin <= 2.2.0 の制限なしファイルアップロード 説明 問題: - 任意のファイルアップロード脆弱性 - パス に存在 - 認証済みユーザーは 権限を使用して、サーバーのファイルシステムに任意のファイルを書き込むことができる - 定期的なタスク API と組み合わせることで、リモートコード実行が可能になる - ファイルアップロード処理には欠陥がある： - Content-Type ヘッダーを信頼してファイルタイプを判断している - 不正なファイルパスの検証または正規化が行われていない - アップロードディレクトリに直接ファイルが書き込まれ、拡張子チェックの回避が可能 例: - 攻撃者が SVG に偽装した Python スクリプトをアップロードし、アップロードに成功して実行トリガーを発生させた 緩和策: - サーバー側でのコンテンツチェック（例：「マジックバイト」の検証） - ヘッダーではなくコンテンツに基づいてファイルタイプを検証する - 安全なアップロードのために保存パスを正規化し制限する - ダイナミックなファイル名を使用しリスクを低減する - アップロード可能なタイプを厳格に許可する - 危険なコンテンツのスキャン - 権限の最小化 - アップロードおよびタスク API に対する監査ログの導入 出典 情報源: GitHub ユーザーと時間 投稿ユーザー: 匿名ユーザー 投稿時間: 2022-02-11 09:57 AM 調整時間: 2022-02-22 04:09 PM 状態とスコア 状態: 承認済み 脆弱性データベースエントリ: 347361 スコア: 20点