Play Framework セキュリティアドバイザリ

アセットコントローラのパストラバーサル

CVE ID

CVE-2018-13864

日付

2018年7月16日

説明

アプリケーションがWindowsで実行されているとき、Playアセットコントローラーはパスを正しく処理していませんでした。その結果、アプリケーションはパス横断エクスプロイトにさらされました。

影響

アプリケーションがWindowsで実行されている場合、`public`フォルダの外部、`conf/application.conf`ファイルなど、クラスパス内のファイルにアクセスすることが可能でした。

この問題はWindowsにのみ影響があり、Linuxには影響しません。

影響を受けるバージョン

2.6.12より前のバージョン、2.5.xやそれ以前のバージョンは、この脆弱性の影響を受けません。

修正

この問題は Play 2.6.16で修正されました。

CVSSメトリクス (詳細情報)

全体: 6.7
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N/E:P/RL:O/RC:C

謝辞

この脆弱性の発見に対する賞賛は Qihoo360 Redteam に送られます。