JVNDB-2026-006898

Jason R. Coombs (jaraco)のjaraco.contextにおけるパストラバーサルの脆弱性

jaraco.contextは有用なデコレータやコンテキストマネージャを提供するオープンソースソフトウェアパッケージであり、バージョン5.2.0以降6.1.0未満の`jaraco.context.tarball()`関数にZip Slipパス・トラバーサルの脆弱性があります。この脆弱性により、悪意のあるtarアーカイブが処理される際に、攻撃者が意図された展開ディレクトリ外へファイルを展開できる可能性があります。strip_first_componentフィルタはパスを最初の`/`で分割し二番目の要素を抽出しますが、`../`のシーケンスを許可してしまいます。そのため、`dummy_dir/../../etc/passwd`は`../../etc/passwd`になります。また、ネストされたtarファイルにおけるマルチレベルの攻撃にも脆弱であり、例えば`dummy_dir/inner.tar.gz`内にトラバーサルパス`dummy_dir/../../config/.env`が含まれている場合も、`../../config/.env`として展開されます。この問題はバージョン6.1.0で修正されました。

Jason R. Coombs (jaraco)

• jaraco.context 5.2.0 以上 6.1.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Path Traversal Vulnerability Disclosure Report  Advisory  jaraco/jaraco.context  GitHub

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-23949

1. National Vulnerability Database (NVD) : CVE-2026-23949
2. 関連文書 : Merge pull request #18 from jaraco/security/extraction-safety  jaraco/jaraco.context@7b26a42  GitHub
3. 関連文書 : File not found  GitHub
4. 関連文書 : jaraco.context/jaraco/context/__init__.py at main  jaraco/jaraco.context  GitHub

• [2026年03月16日]
    掲載