ファイルサーバ「goshs」に認証回避など複数脆弱性 - 修正版を公開

マルチプロトコルに対応したGoベースのファイルサーバライブラリ「goshs」において、認証を回避される脆弱性が明らかとなった。

「SFTPサービス」を有効化し、Basic認証における特定の設定環境下で、パスワードを必要とすることなくファイルへアクセスできる脆弱性「CVE-2026-40884」が明らかとなったもの。

権限や動作モードにより影響は異なるが、ファイルのダウンロードやアップロード、削除、ファイル名の改ざんなどにつながるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

さらに「GitHub Actions」の認証情報が永続化される「ArtiPACKED」の脆弱性「CVE-2026-40903」が判明。ディレクトリトラバーサルの脆弱性「CVE-2026-40876」、アクセス制御情報が漏洩する「CVE-2026-40885」、クロスサイトリクエストフォージェリ（CSRF）の脆弱性「CVE-2026-40883」をはじめとする複数の脆弱性が確認された。

開発者は、バグなどとあわせて脆弱性を修正し、あらたな機能なども実装したメジャーバージョンアップとなる「同2.0.0」を現地時間2026年4月14日に公開している。

（Security NEXT - 2026/04/17 ） ツイート

PR

関連記事

JetBrains「TeamCity」にAPI露出の脆弱性 - ゲストも悪用可能
「SandboxJS」にサンドボックス回避のRCE脆弱性
「Exim」に複数脆弱性 - 「クリティカル」との評価も
「pgAdmin 4」に複数脆弱性 - 認証情報漏洩や任意コマンド実行のおそれ
オブジェクトストレージ「Dell ECS」「ObjectScale」に深刻な脆弱性
「Apache MINA」の深刻な脆弱性 - 複数ブランチで修正未反映
「BerriAI LiteLLM」にSQLi脆弱性 - 認証情報漏洩のおそれ、悪用も
「Android」に近接ネットワーク経由のRCE脆弱性 - PoC公開も
「Linuxカーネル」の暗号通信処理にLoP脆弱性「Dirty Frag」
米当局、脆弱性3件の悪用を警告 - 「Ivanti EPMM」「PAN-OS」は緊急対応を