概要
GotenbergはDockerベースのAPIドキュメント変換ツールで、HTML、Markdown、Office文書等をPDFに変換する機能を提供します。Webhook機能やAPIダウンロード機能を備え、多くのWebアプリケーションのバックエンドで利用されています。
本脆弱性は、Gotenberg 8.30.1以前のバージョンにおける--webhook-deny-listおよび--api-download-from-deny-listフラグのデフォルトプライベートIP拒否リストの実装に存在します。これらの拒否リストは大文字小文字を区別する（case-sensitive）マッチングを行っているため、IPv6アドレスの16進数部分を大文字で記述することにより、プライベートIPアドレスへのアクセス制限をバイパスすることが可能です。
例えば、::1（ループバック）を::0001のように大文字表記の16進数を含む形式で指定した場合、拒否リストのパターンマッチをすり抜けてしまいます。これにより、攻撃者は内部ネットワークへの不正なリクエストを発行できる可能性があります。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 7.5 |
| 深刻度 | High |
| CWE | CWE-178 (大文字小文字の区別の不適切な処理) |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Gotenberg | Gotenberg Project | ≤ 8.30.1 |
修正バージョンと回避策
- 修正バージョン: Gotenbergの最新版へアップデートしてください
- 回避策:
--webhook-deny-listおよび--api-download-from-deny-listに大文字小文字を区別しないパターンを手動で設定することでリスクを軽減できます - 確認方法:
gotenberg --versionでバージョンを確認してください
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。