GNU Wget には、FTP の再帰的ダウンロード時におけるシンボリックリンクの扱いに問題があり、GNU Wget の実行権限の範囲内でローカルファイルシステム上の任意のファイルを操作される可能性があります。 リンク解釈の問題 (CWE-59) GNU Wget は、サーバからファイルを取得するためのユーティリティです。GNU Wget で FTP サーバから再帰的にファイルをダウンロードする際、サーバから取得するディレクトリ一覧のなかに細工されたシンボリックリンクが仕込まれていると、Wget がローカルファイルシステム側の任意のファイルを作成したり上書きしたりする可能性があります。 CWE-59: Improper Link Resolution Before File Access ('Link Following') https://cwe.mitre.org/data/definitions/59.html

[アップデートする] GNU Wget では、本問題の対策としてバージョン 1.16 をリリースしています。 このバージョンでは、サーバから取得したファイル一覧情報の検査が追加されています。 また、初期状態で retr-symlinks オプションを有効にしており、FTP サーバからの再帰的ダウンロード時に、サーバ側のシンボリックリンクに対応してローカル側にシンボリックリンクを作成しなくなります。 [ワークアラウンドを実施する] retr-symlinks オプションを設定することで、FTP サーバからの再帰的ダウンロード時に、サーバ側のシンボリックリンクに対応してローカル側にシンボリックリンクを作成しなくなります。