JVNDB-2026-012486

Apktoolにおけるパストラバーサルの脆弱性

ApktoolはAndroidのAPKファイルのリバースエンジニアリングツールです。バージョン3.0.0および3.0.1において、`brut/androlib/res/decoder/ResFileDecoder.java`にパストラバーサルの脆弱性が存在し、悪意のあるAPKを用いることで標準のデコード処理（`apktool d`）中に任意のファイルをファイルシステムに書き込むことが可能でした。この脆弱性は2025年12月12日のコミットe10a045（PR #4041）で導入されたセキュリティ後退によるもので、以前はリソースファイル出力パスのパストラバーサルを防止していた`BrutIO.sanitizePath()`の呼び出しが削除されていました。攻撃者は`resources.arsc`のType String Poolに`../`の連続を埋め込むことで出力ディレクトリから脱出し、`~/.ssh/config`、`~/.bashrc`、またはWindowsのスタートアップフォルダーなど任意の場所にファイルを書き込んでRCE（リモートコード実行）を引き起こす可能性があります。バージョン3.0.2での修正では、ファイル書き込み操作の前に`ResFileDecoder.java`内で`BrutIO.sanitizePath()`が再導入されています。

Apktool

• Apktool 3.0.0 以上 3.0.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Path Traversal to Arbitrary File Write in Apktool 3.0.1 (Regression in commit e10a045)  Advisory  iBotPeaches/Apktool  GitHub

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-39973

1. National Vulnerability Database (NVD) : CVE-2026-39973
2. 関連文書 : refactor: Improve renaming/injection of resources in stripped APKs by IgorEisberg  Pull Request #4041  iBotPeaches/Apktool  GitHub
3. 関連文書 : Release v3.0.2  iBotPeaches/Apktool  GitHub
4. 関連文書 : refactor: Improve renaming/injection of resources in stripped APKs (#…  iBotPeaches/Apktool@e10a045  GitHub

• [2026年04月24日]
    掲載