【CVE-2024-49359】ZimaOS 1.2.4にディレクトリトラバーサルの脆弱性、システム設定ファイルへのアクセスリスクが発生

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

ZimaOS 1.2.4以前にディレクトリトラバーサルの脆弱性
認証済みユーザーによるディレクトリ一覧表示が可能
重要なシステムディレクトリへのアクセスリスクあり

ZimaOS 1.2.4のセキュリティ脆弱性

IceWhaleTechは、CasaOSをフォークしたZimaデバイスおよびUEFI搭載x86-64システム向けオペレーティングシステムZimaOSにおいて、深刻なセキュリティ上の脆弱性を発見したことを公開した。この脆弱性は【CVE-2024-49359】として識別されており、バージョン1.2.4およびそれ以前のすべてのバージョンに影響を与えることが判明している。^[1]

ZimaOSのAPIエンドポイント「http:///v2_1/file」において、認証済みユーザーがパスパラメータを操作することで任意のディレクトリの内容を一覧表示できる脆弱性が確認された。この脆弱性により、攻撃者は「/etc」などの重要なシステムディレクトリにアクセスし、設定ファイルを露出させる可能性が高まっている。

CVSSスコアは7.5（High）と評価されており、攻撃者は認証なしでネットワーク経由での攻撃が可能であることが判明している。脆弱性の種類はCWE-552（外部からアクセス可能なファイルやディレクトリ）に分類され、現時点でパッチ適用済みのバージョンは公開されていない状況だ。

ZimaOS 1.2.4の脆弱性詳細

項目	詳細
影響を受けるバージョン	1.2.4以前の全バージョン
脆弱性の種類	ディレクトリトラバーサル（CWE-552）
CVSSスコア	7.5（High）
攻撃条件	ネットワークアクセス、認証不要
影響範囲	機密情報の露出、システム設定ファイルへのアクセス

ディレクトリトラバーサルについて

ディレクトリトラバーサルとは、Webアプリケーションにおいて意図しないディレクトリへのアクセスを可能にする脆弱性のことを指す。主な特徴として以下のような点が挙げられる。

パスパラメータの操作による任意のディレクトリアクセス
システム設定ファイルや機密情報の露出リスク
認証情報の窃取や権限昇格の足がかりに

ZimaOSで発見された脆弱性は、APIエンドポイントのパスパラメータ操作により、認証済みユーザーが任意のディレクトリ内容を一覧表示できる典型的なディレクトリトラバーサルの事例となっている。この種の脆弱性は適切な入力検証とアクセス制御の実装により防ぐことが可能だが、現時点でZimaOSには修正パッチが提供されていない状況であり、早急な対応が求められている。