CVE-2026-11015, CVE-2026-11016: risesoft-y9 Digital-Infrastructure ファイルマネージャー: retrieveFileStream および storeFile における認証不要のパストラバーサルによる任意のファイル読み書き 脆弱性概要 脆弱性タイプ: パストラバーサル（Path Traversal） 影響を受けるコンポーネント: および 深刻度: 高 ステータス: 調整された開示（Coordinated Disclosure）進行中、CVE 番号未割り当て 詳細説明 脆弱性情報: のファイルマネージャーマイクロサービスには、ファイルシステムパスを文字列連結によって構築する というコントローラーが含まれています。このコントローラーは、設定されたルートディレクトリと2つのリクエストパラメータ 、 を使用してパスを構築し、そのパスに対して読み取りまたは書き込み操作を行います。この過程で、パスの正規化や内容の検査が行われません。既存の CVE-2025-7108 は、 ハンドラーのみをカバーしています。このコントローラーには2つの兄弟（関連）ハンドラーがあり、それらの正規化ロジックは既存の CVE とは異なります： - は解析されたファイルストリームを呼び出し元に返し、任意のファイル読み取りを可能にします。 - は、存在しない親ディレクトリを作成した後、アップロードされたマルチパート本文を解析されたパスに書き込み、任意のファイル書き込みを可能にします。 脆弱性の原因: 1. 設定されたルートディレクトリと直接的な文字列連結 2. は任意のファイル読み取りの終点 3. は任意のファイル書き込みの終点 4. 同じパターンは3番目のハンドラーにも存在し、CVE が割り当てられている 5. マイクロサービスには認証メカニズムがない 影響範囲 影響を受けるバージョン: バージョン （コミット ）および最新のタグ （コミット ）で確認されています。2つの終点（エンドポイント）は両バージョンでバイナリが同一です。 影響: 認証されていない呼び出し元は、サービスプロセスがアクセスできるすべてのファイル（データベース、Redis、Nacos の資格情報を保持するアプリケーション設定ファイルを含む）を読み取ることができ、任意のパスに書き込むことも可能です。これは、書き込まれたファイルがサーバーによって後ほど提供されるか実行される場所に配置される場合、コード実行につながります。 修正方案 現在のステータス: 調整された開示進行中、CVE 番号未割り当て。 推奨事項: 公式の修正バージョンのリリースを待ち、関連するセキュリティ公告を注視してください。 攻撃フロー 攻撃手順: 1. サービスの特定: コンテキストパスをホストしているホストとポートを特定する。 2. 任意のファイル読み取り: を設定して構成ルートディレクトリから脱出し対象ディレクトリに入り、 を対象ファイル名に設定し、 に対して GET リクエストを送信する。 3. 任意のファイル書き込み: 書き込む内容を含む を持ち、 を選択した宛先ディレクトリに解析させ、 を書き込むファイル名に設定し、 に対してマルチパート POST リクエストを送信する。 4. 状態の変更: ステップ2の後、攻撃者は攻撃者が選択したパス上にファイルの内容を保持します。そのパスがディレクトリである場合、アプリケーションは静的コンテンツとして提供するか実行するかになり、コード実行のリスクとなります。 検証 検証方法: この発見は、静的ソースコードレビューによって確認されました。リポジトリはローカルマシンにクローンまたはダウンロードされておらず、対象コードまたは概念実証（PoC）は実行されておらず、ライブ展開には連絡されていません。ランタイムでの検証は行われていないため、書き込みプリミティブの実行結果はソースコードとモジュール構成から推論されており、実際に観察されたものではありません。 参照コード retrieveFileStream ハンドラー storeFile ハンドラー deleteFile ハンドラー（既存の CVE-2025-7108） 依存関係設定 アプリケーションクラス 設定ファイル リクエスト例 任意のファイル読み取り 任意のファイル書き込み