addsumtech slide_maker Path Traversal via Unvalidated Manifest (CWE-22)

addsumtech slides_maker: OpenAI 画像ジェネレーターが検証されていないマニフェストパス経由で 外に書き込みを行う (CWE-22 / CWE-59) 脆弱性概要 報告者: HaIND (Nguyen Dinh Hai), Post and Telecommunication Institute of Technology, github.com/Haind03 プロジェクト: addsumtech/slide_maker, the skills/slide-maker agent skill, metered OpenAI image generator scripts/generate_images_openai.py 影響を受けるバージョン: main at 60bfed6d51721a99d57ff5e4f6e77fbc9c93a8bd06 (VERSION 5.7.0) および tag v5.7.0 at 2c6b5dc (同一ファイル blob 783fe625). 以前の範囲は二分法で調査されていない。 脆弱性タイプ: - CWE-22: 制限されたディレクトリへのパス名の不適切な制限 (パストラバーサル) - CWE-59: ファイルアクセス前の不適切なリンク解決 (リンクフォロー) 深刻度: Medium to Low, local 修正状況: 非リスト化 (リンクのみ記載) 影響範囲 攻撃者の要件: 源材料（スライド構築の元データ）への影響が必要だが、ローカルアカウントの権限は不要。 具体的な影響: - 任意のディレクトリを作成できる（ モードでも API キーなしで可能）。 - 攻撃者が選択したパスにファイルを作成できる。 - が設定されている場合、既存のファイルを上書きできる。 - 書き込まれる内容は OpenAI 生成の画像であり、任意のデータではないため、コード実行は伴わない。 - 既存ファイルの上書きには が必要（デフォルトでは既存ファイルをスキップ）。 - 完全な画像生成には有効な API キーと文書化された承認のスキップが必要だが、ディレクトリ作成とパスエスケープのステップは不要。 - 範囲はローカルユーザーのファイルシステム権限に限定される。 修正方針 現在の状態: 未修正、リンクのみ記載。 提案: パス解決と検証ロジックを修正し、生成された画像ファイルが指定された出力ディレクトリ外に書き込まれないようにすること。 POC コード 詳細な攻撃手順 1. ユーザーリクエスト: ユーザーは slide-maker スキルを使用して、ドキュメント、ウェブページ、貼り付けられたテキストなどの源材料からスライドの構築を要求する。これは正常な、文書化されたワークフローである。 2. 源材料インジェクション: 源材料にはインジェクション値が含まれており、マニフェスト項目の （または ）が、トラバーサル、絶対パス、または植えられたシンボリックリンクを指すパスである。 3. マニフェスト読み込み: は、 、 、 の存在のみをチェックするため、このマニフェストを受け入れる。 4. パス解決: は を返し、 の外を指す。 5. ジェネレーター実行: ドライランモードでジェネレーターを実行し、API キーなしで脱出ディレクトリが作成されることを確認する。 6. 通常書き込み: 有効なキーを使用して通常モードで実行し、 が生成された画像を脱出路に書き込む。新しいパスは直接書き込まれ、 が渡された場合にのみ既存ファイルが上書きされる。 7. シンボリックリンクバリアント: に攻撃者が書き込みたいディレクトリへのシンボリックリンクを植え、 を に設定し、書き込みはリンクを経てそのターゲットに到達する。 検証 検証ハーネス: は 、OpenAI の および Codex の と をコピーし、画像書き込みを不活性なフェイクPNGバイト文字列でスタブし、 で API、ネットワーク、キーなしで実行する。正例と負の対照を含む。 正例: から脱出。 負例: パッケージの Codex ガードを同一入力に適用し、トラバーサルとシンボリックリンク名をブロックし、安全なベースラインのみを許可する。これにより、欠陥がハーネス自体ではなく、OpenAI リゾルバーにおける欠落したガードに限定されることが確認される。 影響と制限 具体的な影響: - 任意のディレクトリを作成できる（ モードでも API キーなしで可能）。 - 攻撃者が選択したパスにファイルを作成できる。 - が設定されている場合、既存のファイルを上書きできる。 - 書き込まれる内容は OpenAI 生成の画像であり、任意のデータではないため、コード実行は伴わない。 - 既存ファイルの上書きには が必要（デフォルトでは既存ファイルをスキップ）。 - 完全な画像生成には有効な API キーと文書化された承認のスキップが必要だが、ディレクトリ作成とパスエスケープのステップは不要。 - 範囲はローカルユーザーのファイルシステム権限に限定される。 攻撃フロー 攻撃者: 源材料を提供する。 源材料: インジェクションされた を含む。 マニフェスト読み込み: インジェクションされた を受け入れる。 パス解決: 脱出路を返す。 ジェネレーター実行: 脱出ディレクトリを作成する。 通常書き込み: 脱出路に書き込む。 シンボリックリンクバリアント: シンボリックリンクのターゲットに書き込む。 根本原因 1. マニフェストローダーはキーの存在のみを検証する: は、各項目が 、 、 を含むオブジェクトであることを確認する。ベースネームを要求せず、 、パスセパレーター、絶対パス、またはシンボリックリンク名を常に拒否しない。 2. パスリゾルバーは裸の結合であり正規化されない: は とマニフェスト を結合して結果を返す。 、包含比較、シンボリックリンク拒否は行われない。 3. ワークリストは dry-run ガードの前に脱出ディレクトリを作成する: メインループはまず を作成し、その後で と をチェックする。そのため、mkdir は API が一度も呼び出されない dry-run でもトリガーされる。 4. シンクは攻撃者が選択したパスに画像バイトを書き込む: 各ワークリスト項目について、 は API 画像バイトを に直接書き込む。base64 ペイロードはデコードされて書き込まれ、そうでない場合は返される URL が取得されて書き込まれる。 なぜこれが設計ではなく境界なのか 兄弟ジェネレーター : を介して出力パスを解決し、 を省略し、OpenAI ルートでは （:112）が を拒否する。そのドキュメント文字列はスレッモデルを直接説明している。 コンファインメントは本パッケージの期待される不変条件である: はこの点を欠いている唯一のジェネレーターである。 は、Codex ジェネレーターの出力パス処理に関する以前の強化を記録しており、OpenAI ジェネレーターには matching な変更がない。

目標達成すべての支援者に感謝 — 100%達成しました！

addsumtech slide_maker Path Traversal via Unvalidated Manifest (CWE-22)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

addsumtech slide_maker Path Traversal via Unvalidated Manifest (CWE-22)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！