JVNDB-2026-016402

TheCodingMachineのGotenbergにおける不完全なブラックリストに関する脆弱性

GotenbergはPDFファイル向けのDockerベースのステートレスAPIです。8.30.0以前のバージョンでは、GotenbergのExifToolメタデータ書き込みブロックリストがExifToolのグループプレフィックス構文を使用して回避される可能性があり、その結果、サーバー上で任意のファイルのリネーム、移動、ハードリンク作成、シンボリックリンク作成が可能でした。ExifToolはFile:FileNameのようなグループプレフィックス構文をサポートしており、これはFileNameと同様に処理されます。プレフィックスはWriter.plのSetNewValueでタグマッチング前に除去されます。safeKeyPattern正規表現（^[a-zA-Z0-9\-_.:]+$）はコロンを許可しているため、プレフィックス付きタグ名は検証を通過します。プレフィックスは任意で、File:FileNameやSystem:Directory、a:HardLinkなどがあります。さらに、FilePermissions、FileUserID、FileGroupIDの疑似タグはまったくブロックされず、プレフィックスなしでファイル属性を変更できます。この脆弱性は8.30.0で修正されました。

TheCodingMachine

• Gotenberg 8.30.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : ExifTool group-prefix syntax bypasses dangerous-tag blocklist  Advisory  gotenberg/gotenberg  GitHub

1. 不完全なブラックリスト(CWE-184) [その他]

1. CVE-2026-42590

1. National Vulnerability Database (NVD) : CVE-2026-42590

• [2026年05月20日]
    掲載