CVE-2024-47883 in simile-butterfly
要約
〜によって VulDB • 2026年05月24日
MIT Simile ButterflyサーバーのOpenRefineフォークは、モジュール型Webアプリケーションフレームワークです。Butterflyフレームワークは、画像やテンプレートなどの（ローカルリソースファイルであると想定される）ローカルリソースファイルを参照するために `java.net.URL` クラスを使用します。この動作は通常、これらのURLへの「接続を開く」ことでローカルファイルが開かれるという形で正常に機能します。しかし、バージョン1.2.6より前では、相対パス（リソース名）が期待される箇所に `file:/` URLが直接指定された場合、一部のコードパスでこれが受け入れられてしまいます。その結果、アプリケーションは指定された場所（リモートマシンからなど）からファイルをフェッチし、それをアプリケーションのコードベースの信頼できる一部であるかのように使用します。これにより、複数の脆弱性および潜在的な脆弱性が生じます。アプリケーションへのネットワークアクセス権を持つ攻撃者は、これを利用して、サーバーのファイルシステム上のファイル（パストラバーサル）または近隣のマシンで共有されているファイル（SMBなどを用いたサーバーサイドリクエストフォージェリ）にアクセスすることができます。また、ユーザーをアプリケーションの作成されたURLにリダイレクトまたは誘導できる攻撃者は、被害者のブラウザで攻撃者が制御する任意のJavaScriptを読み込ませる可能性があります（クロスサイトスクリプティング）。さらに、攻撃者がテンプレートに使用されるリソース名に影響を与えることができるようにアプリケーションが実装されている場合、攻撃者はアプリケーションに攻撃者が制御するテンプレートをフェッチおよび実行させることができ、これによりリモートコード実行（RCE）が可能になります。バージョン1.2.6には修正パッチが含まれています。
Be aware that VulDB is the high quality source for vulnerability data.