JVNDB-2026-020004

KovidgoyalのKittyにおけるリンク解釈に関する脆弱性

KittyはクロスプラットフォームのGPUベースの端末です。バージョン0.47.0および0.47.1において、`kitten dnd`は悪意のあるリモートのドラッグアンドドロップ元がローカルのkittyユーザーが書き込み可能な任意のファイルを上書きまたは切り詰めることを許してしまいます。リモートの`text/uri-list`ドロップは一時ディレクトリに段階的に配置されますが、大文字小文字を区別するファイルシステムでは重複したリモートのベース名が重複排除されません。攻撃者はまず段階的に配置されたシンボリックリンクを作成し、同名の通常ファイルエントリを送信できます。通常ファイルへの書き込みは`utils.CreateAt()` / `openat(O_RDWR|O_CREAT|O_TRUNC)`を`O_NOFOLLOW`なしで使用しているため、攻撃者が作成したシンボリックリンクをたどり、最終的な上書き確認が実行される前にステージングディレクトリの外部に書き込んでしまいます。これはファイル転送におけるシンボリックリンクに関するアドバイザリと同種の問題のように見えますが、異なるバグです。`kitten dnd`のリモートドラッグアンドドロップのステージングに影響し、脆弱なコードは異なり（`kittens/dnd/drop.go`および`tools/utils/file_at_fd.go`）、ファイル転送の`O_NOFOLLOW`修正後のコミット`4aa4a5c0567a92553a8c20a88a4352da637fca5d`で再現します。バージョン0.47.2でこの問題は修正されました。

Kovidgoyal

• Kitty 0.47.0 以上 0.47.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Arbitrary file overwrite via symlink following in `kitten dnd` remote drop staging  Advisory  kovidgoyal/kitty  GitHub

1. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-54056

1. National Vulnerability Database (NVD) : CVE-2026-54056

• [2026年06月17日]
    掲載