MimeTeX脆弱性リファレンス (CVE-2024-40445 & CVE-2024-40446)

このリポジトリは、C言語で書かれた軽量なオープンソースのLaTeXレンダラーMimeTeXに影響を与えるセキュリティ問題CVE-2024-40445およびCVE-2024-40446の公開リファレンスとして機能します。

⚠️ MimeTeXはもはや積極的にメンテナンスされていないようです。ユーザーと開発者は、本番環境で使用する前にリスクを評価することを強くお勧めします。

脆弱性

CVE-2024-40445 — ディレクトリトラバーサル

MimeTeX バージョン1.77より前にはディレクトリトラバーサルの脆弱性が存在します。コマンドラインまたはCGIモードで動作する場合、細工されたユーザー入力を使用してWindowsシステム上で不正なファイルアクセス操作を実行できる可能性があります。

CVE-2024-40446 — コードインジェクション

MimeTeX バージョン1.76から1.77にはコードインジェクションの脆弱性が含まれています。悪意のある入力文字列がエンジンによって解析されると、意図しないコマンド実行を引き起こす可能性があります。

影響を受ける可能性のあるユーザー

Moodleのユーザーである場合、Moodleは今もMimeTeXを使用している主要なプラットフォームの1つと思われますので、回避策のガイダンスについては彼らのアドバイザリを参照してください。

緩和策

MimeTeXを使用している場合：

• 使用を中止する：メンテナンスされておらず脆弱性があるため。
• ユーザー入力を制限する：すぐに使用を中止できない場合。
• サービスを隔離する：サンドボックス化やコンテナ化により、潜在的なエクスプロイトの影響を制限する。