| タイトル | Linux FoundationのKedroにおけるパストラバーサルの脆弱性 |
|---|---|
| 概要 | Kedroバージョン1.2.0に存在する脆弱性により、攻撃者は細工されたバージョン文字列を提供することでパストラバーサルを悪用する可能性があります。`kedro/io/core.py`の`_get_versioned_path()`メソッドは、ユーザーから提供されたバージョン文字列をファイルシステムパスに対してサニタイズせずに直接埋め込んでいます。これにより、攻撃者は意図されたバージョン管理されたデータセットディレクトリから脱出し、予期しないパス外のファイルにアクセスできるようになります。この問題は、`kedro/framework/cli/utils.py`の`_split_load_versions()`がバージョン文字列の検証を行っていないため、`--load-versions`パラメータを介したCLIからも悪用される可能性があります。この脆弱性によって、許可されていないファイルの読み取りやデータ汚染、プロジェクト間またはテナント間のデータアクセスが発生し、さらにKedroが自動化やオーケストレーション層と共に使用される環境においてより広範な下流影響を及ぼす恐れがあります。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月12日0:00 |
| 登録日 | 2026年6月22日11:38 |
| 最終更新日 | 2026年6月22日11:38 |
| CVSS3.0 : 重要 | |
| スコア | 7.1 |
|---|---|
| ベクター | CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| Linux Foundation |
| Kedro 1.2.0 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月22日] 掲載 |
2026年6月22日11:38 |
| 概要 | A vulnerability in Kedro version 1.2.0 allows an attacker to exploit path traversal by providing a crafted version string. The `_get_versioned_path()` method in `kedro/io/core.py` directly interpolates user-supplied version strings into filesystem paths without sanitization. This enables an attacker to escape the intended versioned dataset directory and access files outside the expected path. The issue is also reachable through the CLI via the `--load-versions` parameter, as `_split_load_versions()` in `kedro/framework/cli/utils.py` does not validate the version string. This vulnerability can lead to unauthorized file reads, data poisoning, cross-project or cross-tenant data access, and broader downstream impacts in environments where Kedro is used with automation or orchestration layers. |
|---|---|
| 公表日 | 2026年6月13日2:16 |
| 登録日 | 2026年6月13日4:18 |
| 最終更新日 | 2026年6月17日0:42 |