CVE-2023-27577 in flarum
要約
〜によって VulDB • 2026年06月21日
flarumはコミュニティ構築のためのフォーラムソフトウェアパッケージです。バージョン1.7.0より前のバージョンでは、攻撃者によって既に侵害された管理者アカウントが`LESS`パーサーの脆弱性を利用でき、パストラバーサル技術を用いてサーバー上の機密ファイルを読み取ることが可能です。攻撃者は、カスタム`LESS`設定に機密ファイルへの絶対パスを指定することでこれを実現し、`LESS`パーサーはそのファイルを参照します。例えば、攻撃者は以下のコードを使用してLinuxマシン上の`/etc/passwd`ファイルの内容を読み取ることができます。対象となるファイルの範囲は、実行中のflarumプロセスに付与された権限によって異なります。この脆弱性はバージョン1.7で修正されています。ユーザーはこのバージョンにアップグレードして脆弱性を軽減すべきです。アップグレードが不可能な場合は、管理者アカウントを強力なパスワードで保護し、その他のアカウントセキュリティに関するベストプラクティスに従うことで脆弱性を軽減できます。さらに、ユーザーはオペレーティングシステムレベルで適切なファイル権限とアクセス制御を実装することで、サーバー上の機密ファイルへの暴露を制限することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.