CVE-2025-58180

概要

OctoPrintは、コンシューマー向け3Dプリンターを制御するためのWebインターフェースを提供します。1.11.2以前のOctoPrintバージョンには、認証された攻撃者が特別に細工されたファイル名でファイルをアップロードできるようにする脆弱性が含まれています。そのファイル名がシステムイベントハンドラーで定義されたコマンドに含まれ、かつそのイベントがトリガーされた場合、任意のコマンド実行が可能になります。アップロードされたファイル名をパラメーターとしてシステムコマンドを実行するイベントハンドラーが設定されていない場合、この脆弱性は影響を及ぼしません。この脆弱性はバージョン1.11.3で修正されています。回避策として、何らかのファイル名ベースのプレースホルダーを含むイベントハンドラーを設定しているOctoPrint管理者は、それらの `enabled` プロパティを `False` に設定するか、GUIベースのEvent Managerで「有効」チェックボックスのチェックを外して無効化する必要があります。あるいは、OctoPrint管理者は `config.yaml` で `feature.enforceReallyUniversalFilenames` を `true` に設定してOctoPrintを再起動し、既存のアップロードを検査して、不審なファイルを必ず削除してください。常にそうであるように、OctoPrint管理者は、OctoPrintをパブリックインターネットなどの敵対的なネットワークに公開せず、インスタンスにアクセスできる人物を精査することをお勧めします。

• CVE-2025-58180PoC

  OctoPrint バージョン <=1.11.2 では、ファイルアップロードアクセス権を持つ攻撃者（例：有効なAPIキーまたはセッション）が、サニタイゼーションをバイパスする悪意のあるファイル名を作成し、その後 OctoPrint のイベントシステムによって実行されることで、ホスト上でリモートコード実行（RCE）に至ります。

• OctoPrint 1.11.2 - File Uploadエクスプロイト

  prabhat · multiple · 2026/02/04