ファイルサーバ「goshs」に認証回避など複数脆弱性 - 修正版を公開

マルチプロトコルに対応したGoベースのファイルサーバライブラリ「goshs」において、認証を回避される脆弱性が明らかとなった。

「SFTPサービス」を有効化し、Basic認証における特定の設定環境下で、パスワードを必要とすることなくファイルへアクセスできる脆弱性「CVE-2026-40884」が明らかとなったもの。

権限や動作モードにより影響は異なるが、ファイルのダウンロードやアップロード、削除、ファイル名の改ざんなどにつながるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

さらに「GitHub Actions」の認証情報が永続化される「ArtiPACKED」の脆弱性「CVE-2026-40903」が判明。ディレクトリトラバーサルの脆弱性「CVE-2026-40876」、アクセス制御情報が漏洩する「CVE-2026-40885」、クロスサイトリクエストフォージェリ（CSRF）の脆弱性「CVE-2026-40883」をはじめとする複数の脆弱性が確認された。

開発者は、バグなどとあわせて脆弱性を修正し、あらたな機能なども実装したメジャーバージョンアップとなる「同2.0.0」を現地時間2026年4月14日に公開している。

（Security NEXT - 2026/04/17 ）ツイート

ファイルサーバ「goshs」に認証回避など複数脆弱性 - 修正版を公開

関連リンク

PR

関連記事