CVE-2018-25438 Intermesh Group-Officeにパストラバーサル脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Intermesh Group-Office 3.3.0以前のバージョンに存在する脆弱性により、認証不要で任意のファイルの読み取りが可能となる。リモート攻撃者が`compress.php`へのGETリクエストで`file`パラメータに`../`を含めることで、`/etc/passwd`などのシステムファイルを取得できる可能性がある。CVSSスコア7.5（深刻度HIGH）であり、攻撃の実証が観測されているため、該当ソフトウェアを運用している場合は影響範囲の確認と修正措置の検討が求められる。確認時は、`file`パラメータの処理がパストラバーサルを許容していないかを点検する必要がある。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性は、人間の知性がもたらす「不完全な設計」を象徴しているのではないだろうか？ファイルパスの検証が欠如し、攻撃者が「../」という文字列でシステムファイルにアクセスできるという点では、設計者が想定したセキュリティ境界が破られている。この不完全さは、運用者の責任に帰属するのか？
ソクラテス、その問いは深く、しかし現実の管理者にとっては少し抽象的すぎる。まずは、このソフトウェアが運用されているかを確認しなければなりません。Group-Officeのバージョンが3.3.0以前か、3.5.5以前かを明確に知るためには、`php -r "echo phpversion();"`ではなく、`/etc/groupoffice/version`などのファイルを確認する必要があります。また、`compress.php`が存在するディレクトリ構造を調査し、`file`パラメータがパストラバーサルを許容しているかをテストコードで検証するべきです。
では、この脆弱性が「すでに悪用されている」という事実を踏まえれば、運用者はどのように責任を果たすべきだろう？
まずは、製品のベンダー情報とパッチの適用を優先するべきです。Intermesh Group-Officeの公式サイトや、CVE情報に記載されているNVDリンクを確認し、推奨される修正バージョン（3.5.5以降）にアップグレードする必要があります。変更管理の文書化を忘れず、テスト環境でのパッチ適用を完了した後、本番環境に反映させる段階で監視ログを確認してください。
だが、監視の意味は何か？
例えば、`/etc/passwd`のようなシステムファイルがアクセスされた痕跡を検出するためには、`/var/log/apache2/access.log`や`/var/log/nginx/access.log`を定期的にスキャンし、異常な`file`パラメータのリクエストを抽出する必要があります。また、`mod_security`やWAFのルールを強化して、`../`の文字列をブロックする設定を検討すべきです。
では、運用者はこの脆弱性を「哲学的リスク」と見なすべきだろうか？
いや、哲学的リスクではなく、現実的なリスクです。ただし、そのリスクを軽減するには、運用者が「確認」「適用」「記録」の三つの行動を徹底することが不可欠です。笑いながらも、この脆弱性が「影」のように存在する以上、それを無視するのではなく、明るい光（パッチ）で照らすことが求められるでしょう。
関連キーワード: php