【CVE-2024-45291】PhpSpreadsheetにパストラバーサルの脆弱性、早急な対応が必要

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
PhpSpreadsheetの脆弱性がCVE-2024-45291として公開
PhpSpreadsheet脆弱性の影響範囲
パストラバーサルについて
PhpSpreadsheetの脆弱性対応に関する考察
参考サイト

記事の要約

PhpSpreadsheetにパストラバーサルの脆弱性
CVE-2024-45291として識別される深刻な問題
影響を受けるバージョンの更新が必要

PhpSpreadsheetの脆弱性がCVE-2024-45291として公開

PHPOfficeは、スプレッドシート操作ライブラリPhpSpreadsheetにおいて、パストラバーサルの脆弱性とサーバサイドのリクエストフォージェリの脆弱性が発見されたと2024年10月7日に公開した。この脆弱性はCVE-2024-45291として識別され、CVSS v3による基本値は8.8（重要）と評価されている。攻撃元区分はネットワークであり、攻撃条件の複雑さは低いとされている。^[1]

影響を受けるバージョンは、PhpSpreadsheet 1.29.2未満、2.0.0以上2.1.1未満、2.2.0以上2.3.0未満である。この脆弱性により、攻撃者は情報を取得したり改ざんしたりする可能性があり、さらにサービス運用妨害（DoS）状態を引き起こす恐れがある。対策として、影響を受けるバージョンのユーザーは、最新のセキュリティアップデートを適用することが強く推奨されている。

この脆弱性の深刻度は高く、特に攻撃に必要な特権レベルが低く、利用者の関与が不要であることから、攻撃の容易さが懸念される。CWEによる脆弱性タイプとしては、パス・トラバーサル（CWE-22）、絶対パストラバーサル（CWE-36）、サーバサイドのリクエストフォージェリ（CWE-918）に分類されている。開発者は早急にセキュリティパッチを適用し、ユーザーデータの保護に努める必要があるだろう。

PhpSpreadsheet脆弱性の影響範囲

バージョン	影響	推奨対策
1.29.2未満	脆弱性あり	最新版へのアップデート
2.0.0以上2.1.1未満	脆弱性あり	最新版へのアップデート
2.2.0以上2.3.0未満	脆弱性あり	最新版へのアップデート
2.3.0以上	影響なし	-

パストラバーサルについて

パストラバーサルとは、ウェブアプリケーションの脆弱性の一種で、攻撃者がファイルパスを操作して本来アクセスできないはずのディレクトリやファイルにアクセスできてしまう問題を指す。主な特徴として、以下のような点が挙げられる。

ユーザー入力を適切に検証せずにファイルパスを構築する
「../」などの相対パス指定を悪用される可能性がある
重要なシステムファイルや機密情報へのアクセスを許してしまう

PhpSpreadsheetの脆弱性では、このパストラバーサルの問題が指摘されており、攻撃者がシステム上の任意のファイルにアクセスできる可能性がある。この脆弱性は、CVSS基本値8.8の重要度で評価されており、機密性、完全性、可用性のすべてに高い影響を与える可能性がある。開発者は入力値の厳格な検証やサンドボックス化などの対策を講じる必要があるだろう。

PhpSpreadsheetの脆弱性対応に関する考察

PhpSpreadsheetの脆弱性対応において評価すべき点は、脆弱性の公開と同時に影響を受けるバージョンが明確に示されたことである。これにより、ユーザーは自身のシステムが影響を受けるかどうかを迅速に判断し、必要な対策を講じることが可能になった。一方で、この種の脆弱性が発見されたことは、オープンソースライブラリの安全性に対する懸念を改めて浮き彫りにしたとも言えるだろう。

今後、同様の脆弱性が他のライブラリでも発見される可能性は否定できない。特に、ファイル操作を伴うライブラリでは、入力値の検証やサニタイズ処理の徹底が求められる。開発者コミュニティとしては、脆弱性スキャンツールの定期的な実行や、コードレビューのプラクティス強化など、予防的なセキュリティ対策の導入を検討する必要があるだろう。また、ユーザー側も使用しているライブラリのバージョン管理を徹底し、セキュリティアップデートを迅速に適用する体制を整えることが重要になる。

PhpSpreadsheetの開発チームには、今回の脆弱性の根本原因を詳細に分析し、その知見を公開することが期待される。また、セキュリティ機能の強化だけでなく、ユーザーがより安全にライブラリを使用できるようなガイドラインや、セキュアなコーディング例の提供も有効だろう。オープンソースコミュニティ全体で、セキュリティに対する意識を高め、継続的な改善を行うことが、今後のソフトウェア開発における重要な課題となるだろう。