SVG形式を変換するNode.jsパッケージに複数の脆弱性

SVG（Scalable Vector Graphics）形式の画像フォーマットを他フォーマットに変換できるNode.jsパッケージ「convert-svg」に複数の脆弱性が明らかとなった。アップデートが提供されている。

「convert-svg-core」において「SVGタグ」の処理に問題があり、ディレクトリトラバーサルが可能となる脆弱性「CVE-2022-24278」が明らかとなったもの。細工したSVGファイルを処理すると、脆弱性を悪用されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、CVE番号を採番したSnykでは「7.5」と評価し、重要度を「高（High）」としている。一方、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では「9.8」としており、重要度を「クリティカル（Critical）」とした。

またコードインジェクションが可能となる脆弱性「CVE-2022-24429」も明らかとなっている。細工したSVGファイルを用いることにより、任意のファイルを読み出し、内容をPNGファイルに変換して表示することが可能だという。SnykではCVSS基本値を「7.5」、NVDでは「7.8」と評価している。

開発者は、これら脆弱性を「同0.6.4」にて修正した。脆弱性の詳細についても公開されており、注意が必要となる。

（Security NEXT - 2022/06/22 ） ツイート

PR

関連記事

市サイト上で個人情報含むファイルが認証なく閲覧可能に - 柏市
複数警察署で事件関係者の個人情報含む書類を紛失 - 福井県警
海外通販サイトに不正アクセス、会員情報流出の可能性 - BEENOS子会社
「SESマッチングサービス」のメルアカに不正アクセス - アデコ
サーバ内にバックドア、個人情報流出の可能性 - ケイ・ウノ
「VMware vSphere」環境狙う「BRICKSTORM」に新亜種 - 米加当局が注意喚起
JALシステム障害、原因はデータ誤消去 - 発覚おそれログ改ざん
米当局、脆弱性悪用リストに4件追加 - ランサム対策製品の脆弱性も
「Apache Tomcat」に複数脆弱性 - 1月の更新でいずれも修正済み
アドバンテストでランサム被害か - 影響や原因など調査