概要
Go 製の SSH サーバーライブラリ charm.land/wish/v2 バージョン 2.0.0 の SCP ミドルウェアにパストラバーサル脆弱性が存在します。
悪意のある SCP クライアントが ../ シーケンスを含む細工されたファイル名を送信することで、設定されたルートディレクトリ外のファイルを読み取ったり、任意のファイルを書き込んだり、想定外のディレクトリを作成したりできます。SCP プロトコル上で悪用可能であるため、SSH 接続が確立できる攻撃者であれば本脆弱性を利用できます。
wish はサーバーサイドの SSH アプリケーションを Go で構築するために広く使われているライブラリです。バージョン 2.0.1 でパッチが提供されています。
CVSSベクトル
| 要素 | 値 |
|---|---|
| スコア | 9.6（CRITICAL） |
| 攻撃元区分（AV） | ネットワーク（N） |
| 攻撃条件の複雑さ（AC） | 低（L） |
| 必要な特権（PR） | 低（L）※SSH接続が必要 |
| ユーザー関与（UI） | 不要（N） |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| charm.land/wish/v2 | 2.0.0 |
修正バージョンと回避策
修正バージョン: charm.land/wish/v2 v2.0.1
推奨対応手順:
go.modで使用中の wish バージョンを確認するgo get charm.land/wish/v2@v2.0.1でアップデートする- SCP 機能が不要な場合は SCP ミドルウェアを無効化する
関連リンク
データソース: NVD (NIST), GitHub Advisory Database
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。