CVE-2026-25964: レシピインポートを介した認証済みローカルファイル開示（LFD）による任意ファイル読み取り

概要

Tandoor Recipes の RecipeImport ワークフローにおける不適切に認可されたパストラバーサル脆弱性（CWE-22）により、インポート権限を持つ認証済みユーザーがサーバー上の任意のファイルを読み取ることができます。この脆弱性は、file_path パラメータの入力検証の欠如と、Local ストレージバックエンドのチェック不足に起因し、攻撃者がストレージディレクトリの制限を回避して、機密性の高いシステムファイル（例：/etc/passwd）やアプリケーション設定ファイル（例：settings.py）にアクセスし、システム全体の侵害につながる可能性があります。

詳細

この脆弱性は、アプリケーションの意図したストレージルートに対してユーザー指定の入力を検証できないことに起因します。

1. 無制限のファイルパス入力（CWE-73）: /api/recipe-import/ エンドポイントは、認証済みユーザーが任意の file_path と storage バックエンドを持つ RecipeImport オブジェクトを作成することを許可します。file_path が設定されたストレージディレクトリ内にあることを保証する検証は実行されません。
2. ストレージプロバイダーにおけるパストラバーサル（CWE-22）: cookbook/provider/local.py の Local.get_file メソッドは、ファイル取得リクエストを処理します：
   root@kitploit:~

   @staticmethod
   def get_file(recipe):
       # 脆弱性: recipe.file_path で指定されたパスを直接開く
       # ストレージルートディレクトリ内にあるかどうかを検証しない。
       file = io.BytesIO(open(recipe.file_path, 'rb').read())
       return file
   

   この実装は、レシピオブジェクトに保存されたパスを盲目的に信頼し、絶対パス（例：/etc/passwd）や相対パス（例：../../app/config.py）を開くことを許可します。

RecipeImport オブジェクトが import_recipe アクションを介して Recipe に変換されると、悪意のあるパスが永続化されます。その後の get_recipe_file の呼び出しにより、脆弱な読み取り操作がトリガーされ、ファイルの内容がユーザーに返されます。

PoC

前提条件: レシピをインポートする権限を持つ認証済みユーザーアカウント。デフォルトでは、この権限は制限されている可能性がありますが、低権限のロールに付与された場合、影響は大幅に増大します。管理者であっても、アプリケーションレベルの権限がファイルシステムレベルの読み取りアクセスを許可すべきではないため、これはセキュリティ境界の違反を表します。

ステップ 1: 悪意のあるインポートオブジェクトを作成する ターゲットファイル（例：/etc/passwd）を指す RecipeImport オブジェクトを作成するための POST リクエストを送信します。

（注：storage: 1 は通常、デフォルトのローカルストレージに対応します。必要に応じて調整してください。）

ステップ 2: インポートをレシピに変換する 永続的な Recipe オブジェクトを作成するためにインポートプロセスをトリガーします。ステップ 1 で返された import_id（例：4）に注意してください。

（<IMPORT_ID> をステップ 1 のレスポンスの ID に置き換えてください。このリクエストは新しい recipe_id（例：34）を返します。）

ステップ 3: 任意のファイルをダウンロードする ステップ 2 で返された新しいレシピ id（例：34）を使用して、レシピファイルエンドポイント経由でファイルにアクセスします。

結果: サーバーは /etc/passwd の内容を返し、LFD 脆弱性を確認します。

影響

• 脆弱性タイプ: パストラバーサル（CWE-22）、ファイル名またはパスの外部制御（CWE-73）。
• 深刻度: 高。
• 結果:
  1. システム侵害: /etc/passwd を読み取る機能により、システムユーザーの列挙が可能になります。
  2. アプリケーションシークレットの開示: 攻撃者は、/opt/recipes/recipes/settings.py（テストで確認済み）や .env などの認証済み設定ファイルを読み取ることができます。これにより、SECRET_KEY（セッション偽造を可能にする）とデータベース認証情報（直接データベースアクセスを可能にする）が露出します。
  3. ソースコードの漏洩: アプリケーションのソースコードの露出により、「隠蔽によるセキュリティ」の防御が制限され、さらなる脆弱性の発見に役立ちます。