Flawfinder バージョン 2.0.19 では、潜在的に悪意のあるファイル名を解析する際にファイル名のサニタイズが行われません。影響を受ける端末は libvte ベースであり、以下の例では mate-terminal を示しています。
この脆弱性は、その後 David Wheeler と私によって 2026年5月17日時点のバージョン 2.0.20 で修正されました。
このリポジトリには、サンプルの POC bash スクリプトと、このエクスプロイトがどのように機能するかについての情報が含まれています。
サンプルディレクトリには、以下のように好きなだけファイルを含めてください:
これらのファイルにはどちらも同じ C コードが含まれています:
#include <string.h>
void f(char *s) {
char buf[8];
strcpy(buf, s); /* 本物の flawfinder レベル4 ヒット */
}
このディレクトリに対して flawfinder を実行すると、以下のような期待される出力が得られます:
ここで、悪意のあるファイル名を持つ以下のファイルを含めると:
flawfinder を再実行すると、この出力が得られます:
この悪意のあるファイル名は、flawfinder がスキャンするすべてのファイルの出力を隠蔽し、検出結果がないと偽って主張します。
さらに、--csv フラグを付けて flawfinder を実行しても同じ結果が得られ、出力を *.csv ファイルに保存すると、エンドユーザーから真の結果が隠蔽されます。