muCommander FTP/SFTP Zip-slip Path Traversal Vulnerability Analysis and Fix

脆弱性の概要 脆弱性名称: muCommanderのリモート(FTP/SFTP)アーカイブ抽出におけるZip/Tarスリップパストラバーサル 脆弱性記述: muCommanderは、FTPまたはSFTPのリモートファイルシステムを抽出先として指定した場合、Zipスリップの包含チェックに失敗します。 は、包含関係を検証するために を使用しており、この関数は によるパスの正規化と による接頭辞チェックを行います。しかし、FTP/SFTPのパス実装は を解決しないため、 というパスは接頭辞チェックを通過してしまいます。この結果、リモートサーバーは未正規化のパスを受け取り、ファイルが選択されたディレクトリの外側に書き込まれることになります（CVE-22）。 影響範囲 影響を受けるプロジェクト: muCommander/mucommander, dual-pane file manager (1.6.3) 影響: 認証済みのFTP/SFTPアカウントの権限に制限された上で、選択されたリモート抽出ディレクトリの外側で任意のファイルの作成または上書きが可能となります。書き込み可能なアカウントは、設定ファイル、デプロイメント関連ファイル、SSH関連ファイルの上書きに利用可能です。 前提条件: 被害者は悪意あるアーカイブを開き、FTP/SFTPのターゲットに対して抽出する必要があります。 修復方策 即時対応: ターゲットオブジェクトを作成する前に、各アーカイブエントリのパスを正規化してください。絶対パス、空のコンポーネント、およびルートから逸脱する正規化済みパスを拒否します。 短期対応: 全てのローカルおよびリモートファイルシステム実装に対して、包含チェックを元の ではなくパスセグメントを認識した比較によって実行してください。 ディフェンス・イン・デプス: FTP/SFTPのターゲットに対して、 、連続する区切り文字、絶対パス、およびシンボリックリンクエントリに関する回帰テストを実施してください。 POCコード 参照リンク プロジェクト: mucommander/mucommander レビューされたコミット: 3504a51: , , , , , 弱点: CWE-22 制限ディレクトリへのパス名制限の不備 推奨CVSS 3.1: 5.5 (AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N) 報告者 報告者: hieuPenguinnn (github.com/hieuPenguinnn) 最終編集日: 2026年10月13日

目標達成すべての支援者に感謝 — 100%達成しました！

muCommander FTP/SFTP Zip-slip Path Traversal Vulnerability Analysis and Fix

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

muCommander FTP/SFTP Zip-slip Path Traversal Vulnerability Analysis and Fix

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！