CVE-2025-27137 in dependency-track
要約
〜によって VulDB • 2026年06月25日
Dependency-Trackは、組織がソフトウェアサプライチェーンにおけるリスクを特定し軽減することを可能にするコンポーネント分析プラットフォームです。Dependency-Trackでは、`SYSTEM_CONFIGURATION`権限を持つユーザーが通知テンプレートをカスタマイズできます。これらのテンプレートはPebbleテンプレートエンジンを使用して評価されます。Pebbleには`include`タグがサポートされており、これによりテンプレート作成者は評価時に任意のファイルの内容を含めることができます。バージョン4.12.6より前では、`SYSTEM_CONFIGURATION`権限を持つDependency-Trackユーザーは、通知テンプレートを不正に使用して`sensitive local files`（機密ローカルファイル）を`include`することで、このタグを悪用できます。例えば、`/etc/passwd`や`/proc/1/environ`などのファイルが含まれます。このようなテンプレートを使用して通知ルール（別名「アラート」）を設定し、攻撃者が制御する宛先へ通知を送信させることで、機密情報が漏洩する可能性があります。この問題はDependency-Track 4.12.6で修正されています。修正されたバージョンでは`include`タグは使用できなくなり、その使用を試みるとテンプレート評価が失敗します。回避策として、信頼できないユーザーに`SYSTEM_CONFIGURATION`権限を割り当てないでください。デフォルトでは、この権限は`Administrators`チームのメンバーに対してのみ付与されます。管理者以外のユーザーやチームにこの権限を割り当てることはそれ自体セキュリティリスクであり、強く推奨されません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.