ファイルサーバ「goshs」に認証回避など複数脆弱性 - 修正版を公開

マルチプロトコルに対応したGoベースのファイルサーバライブラリ「goshs」において、認証を回避される脆弱性が明らかとなった。

「SFTPサービス」を有効化し、Basic認証における特定の設定環境下で、パスワードを必要とすることなくファイルへアクセスできる脆弱性「CVE-2026-40884」が明らかとなったもの。

権限や動作モードにより影響は異なるが、ファイルのダウンロードやアップロード、削除、ファイル名の改ざんなどにつながるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

さらに「GitHub Actions」の認証情報が永続化される「ArtiPACKED」の脆弱性「CVE-2026-40903」が判明。ディレクトリトラバーサルの脆弱性「CVE-2026-40876」、アクセス制御情報が漏洩する「CVE-2026-40885」、クロスサイトリクエストフォージェリ（CSRF）の脆弱性「CVE-2026-40883」をはじめとする複数の脆弱性が確認された。

開発者は、バグなどとあわせて脆弱性を修正し、あらたな機能なども実装したメジャーバージョンアップとなる「同2.0.0」を現地時間2026年4月14日に公開している。

（Security NEXT - 2026/04/17 ） ツイート

PR

関連記事

「Apache ActiveMQ」にRCE脆弱性 - 悪用が確認され「KEV」にも登録
「Cisco ISE」に複数の深刻な脆弱性 - 一部修正パッチを準備中
「Ivanti Neurons for ITSM」に脆弱性 - アップデートを提供
SAP、月例セキュリティアドバイザリ19件を公開 - 「クリティカル」も
「Cisco Webex」のSSO連携に深刻な脆弱性 - 証明書の更新を
「Chrome」が脆弱性31件を修正 - 5件は「クリティカル」
「Adobe Acrobat/Reader」がわずか3日で再更新 - 深刻な脆弱性を修正
「Adobe Acrobat/Reader」にゼロデイ脆弱性 - 悪用を確認、緊急更新を
米当局、「SharePoint Server」「Excel」の脆弱性悪用に注意喚起
「FortiSandbox」に複数の「クリティカル」脆弱性 - アップデートを