概要
Gotenberg は PDF 生成を行うオープンソースの API サーバーで、Docker コンテナとして広く利用されています。HTML、Markdown、Office ドキュメントなどを PDF に変換する機能を提供し、多くの Web アプリケーションのバックエンドとして採用されています。
本脆弱性は Gotenberg v8 系において、ExifTool のメタデータ処理におけるキーインジェクションを通じて、認証なしでリモートコード実行（RCE）が可能となるものです。攻撃者は細工したメタデータキーを含むリクエストを Gotenberg の API エンドポイントに送信することで、サーバー上で任意のコマンドを実行できます。
本脆弱性に対する修正バージョンは現時点で提供されていません。 Gotenberg をインターネットに公開している環境、または信頼できないユーザーからのリクエストを受け付けている環境では、即座にネットワークレベルでのアクセス制限を実施する必要があります。認証機構が標準で備わっていないため、ファイアウォールやリバースプロキシによるアクセス制御が唯一の緩和策となります。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 9.8 |
| 深刻度 | Critical |
| CWE | CWE-77 (コマンドインジェクション) |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| gotenberg | gotenberg | v8 系全バージョン（修正なし） |
修正バージョンと回避策
- 修正バージョン: 現時点で修正バージョンは提供されていません。ベンダーからの修正リリースを注視してください
- 回避策（必須）: Gotenberg の API エンドポイントへのアクセスを、ファイアウォールまたはリバースプロキシを用いて信頼できる内部ネットワークのみに制限してください
- 確認事項: Gotenberg がインターネットに直接公開されていないことを確認してください。Docker の公開ポート設定（
-pオプション）で外部公開されていないか点検してください
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。