B43/100
脆弱性 · 中
ComfyUI-Easy-Useに認証不要のパストラバーサルの脆弱性
ティアB · 今週中にパッチ – 次のスプリントで対応
影響を受ける人： ComfyUI-Easy-Useを導入したComfyUI環境
ティアBの理由： 基幹インフラまたは人気ツール かつ 認証不要のリモート攻撃
影響範囲
攻撃
被害
修正
人気ツール · 認証不要のリモート攻撃
要点
- ComfyUIの拡張機能ComfyUI-Easy-Useに、認証不要のパストラバーサルの脆弱性が見つかったことがJVNで公開された。
- 攻撃者はパス指定を悪用し、本来アクセスできないはずのファイルにアクセスできるおそれがある。
- 情報源には深刻度、CVSSスコア、修正版の有無、悪用の有無は記載されていない。
なぜ重要か
ComfyUI-Easy-Useを導入している開発者は、認証なしで外部から狙われるおそれがあるため、利用状況を確認する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中3項目が「はい」
| はい | 開発者に影響 | AI画像生成ツールComfyUIの拡張機能であり、開発者や運用者が利用するため該当する |
| いいえ | 基幹インフラ | 特定のComfyUI拡張機能の脆弱性であり、ほぼすべてのチームが運用する基幹ソフトウェアではない |
| はい | 人気ツール | ComfyUIは広く使われるツールで、その人気拡張機能の脆弱性である |
| いいえ | 悪用確認済み | JVN: 認証不要のパストラバーサルの脆弱性という情報のみで、攻撃の観測は記載なし |
| いいえ | 公開エクスプロイト | JVN: 脆弱性の概要のみで、エクスプロイトや概念実証の公開は記載なし |
| はい | 認証不要のリモート攻撃 | JVN: タイトルで認証不要のパストラバーサルと明記されている |
| いいえ | 完全な乗っ取り | JVN: パストラバーサルとのみ記載され、コード実行や権限奪取は言及なし |
| いいえ | シークレットの流出 | JVN: 情報漏えいの有無は記載なし |
| いいえ | サプライチェーン | JVN: 脆弱性情報のみで、悪意あるコードの配布は記載なし |
| いいえ | 修正なし | JVN: 修正版の有無や対策状況は記載なし |
タイムライン
出典
ComfyUIのComfyUI-Easy-Use拡張機能における認証不要のパストラバーサルの脆弱性 ↗ jvn.jp · 2時間前