SVG形式を変換するNode.jsパッケージに複数の脆弱性

SVG（Scalable Vector Graphics）形式の画像フォーマットを他フォーマットに変換できるNode.jsパッケージ「convert-svg」に複数の脆弱性が明らかとなった。アップデートが提供されている。

「convert-svg-core」において「SVGタグ」の処理に問題があり、ディレクトリトラバーサルが可能となる脆弱性「CVE-2022-24278」が明らかとなったもの。細工したSVGファイルを処理すると、脆弱性を悪用されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、CVE番号を採番したSnykでは「7.5」と評価し、重要度を「高（High）」としている。一方、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では「9.8」としており、重要度を「クリティカル（Critical）」とした。

またコードインジェクションが可能となる脆弱性「CVE-2022-24429」も明らかとなっている。細工したSVGファイルを用いることにより、任意のファイルを読み出し、内容をPNGファイルに変換して表示することが可能だという。SnykではCVSS基本値を「7.5」、NVDでは「7.8」と評価している。

開発者は、これら脆弱性を「同0.6.4」にて修正した。脆弱性の詳細についても公開されており、注意が必要となる。

（Security NEXT - 2022/06/22 ） ツイート

PR

関連記事

課税調査中に個人情報含む資料を紛失 - 京都市
自治体向け資料に個人情報、図関連データとして内包 - 兵庫県
事務局内情報共有サイト、アクセス制限なく情報流出 - 岩手県
中等教育学校で受験生資料含むUSBメモリを紛失 - 新潟県
「WatchGuard Firebox」に脆弱性 - ゼロデイ攻撃が発生、更新や痕跡調査を
不正アクセスでトップページ改ざん、外部サイトへ遷移 - 文字起こしサービス会社
図書館サーバからスパム送信、更新時の未承認設定変更が影響 - 岡山県
まもなく年末年始、長期休暇前にセキュリティ総点検を
「Apache StreamPark」に暗号化などの脆弱性3件が判明
「OpenShift GitOps」に権限昇格の脆弱性 - クラスタ掌握のおそれ