CVE-2025-58762 in Tautulli
要約
〜によって VulDB • 2026年06月24日
Tautulliは、Plex Media Server向けのPythonベースの監視および追跡ツールです。Tautulli v2.15.3およびそれ以前のバージョンでは、管理者権限を持つ攻撃者が`pms_image_proxy`エンドポイントを使用して、アプリケーションファイルシステム内に任意のPythonスクリプトを書き込むことができます。これにより、`Script`通知エージェントと組み合わせることでリモートコード実行（RCE）が可能になります。
管理者アクセス権を持つ攻撃者がPMSのURLを自身が制御するサーバーに変更した場合、`pms_image_proxy`を悪用してアプリケーションファイルシステムへのファイル書き込みを行うことができます。これは、`img`パラメータにURLを指定し、`img_format`パラメータに必要なファイル名を含む`pms_image_proxy`リクエストを送信することで実行できます。Tautulliは、必要なメタデータのハッシュと`img_format`を使用してファイルパスを組み立てます。攻撃者はファイルパスの末尾を占める`img_format`を制御しており、かつこの値がサニタイズされていないため、任意の名前のファイルを指定するためにパストラバーサル文字を使用できます。
指定されたファイルが存在しない場合、Tautulliは設定済みのPMSから画像を取得しようとします。攻撃者がPMSを制御しているため、このリクエストに対して任意のコンテンツを返すことができ、その結果が指定されたファイルに書き込まれます。これにより、攻撃者はアプリケーションファイルシステム上の場所に任意のPythonスクリプトを書き込むことができます。その後、攻撃者は組み込みの`Script`通知エージェントを使用してローカルスクリプトを実行し、アプリケーションサーバー上でリモートコード実行を取得します。ユーザーはパッチを適用するためにもバージョン2.16.0にアップグレードする必要があります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.