判定
- 現在の判定
- Matched（該当）
- 攻撃条件
- 満たさない（AV・PR・UI がすべて N か）
- 攻撃能力
- 満たさない（RCE・認証回避・シェル取得・root 取得のいずれか）
- 根拠
- AV:N / PR:L / UI:N（CNA・CVSS 3.1） ／ 該当する攻撃能力なし
解説
- 概要
- 単一ストリーム形式の圧縮ファイルを展開する際、アーカイブ用の展開量制限が適用されない問題です。
- 影響
- 認証済みのアップロード権限を持つユーザーが、展開後にDocker共有ボリュームを枯渇させ、プラットフォーム全体の利用を妨害できます。
- 対象
- Malcolm 0～26.07.1。26.08.0 は影響を受けません。
- 対策
- 26.08.0 へ更新してください。別途の回避策は記載なし。
- 判定
- AV:N / PR:L / UI:N（CNA・CVSS 3.1） ／ 該当する攻撃能力なし
CVSS 評価
| 出所 | 版 | AV / PR / UI | ベクトル | 出所側の更新日時 |
|---|---|---|---|---|
| CNA | 3.1 | AV:N / PR:L / UI:N | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H | 2026-10-15 04:36 |
攻撃能力（AI 判定）
| RCE | 非該当 |
| 認証回避 | 非該当 |
| シェル取得 | 非該当 |
| root 取得 | 非該当 |
根拠
-
RCE ・ CNA の説明文
exhausting the shared Docker volume used by OpenSearch, Logstash, Arkime, and Zeek, and disrupting the platform for all users.
-
認証回避 ・ CNA の説明文
Any authenticated user permitted to upload PCAP/log files can upload a small, highly compressible file
-
シェル取得 ・ CNA の説明文
exhausting the shared Docker volume used by OpenSearch, Logstash, Arkime, and Zeek, and disrupting the platform for all users.
-
root 取得 ・ CNA の説明文
exhausting the shared Docker volume used by OpenSearch, Logstash, Arkime, and Zeek, and disrupting the platform for all users.
モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-14 01:20 ・ 入力 SHA-256 961870e1b043
一致した監視対象製品
-
OpenSearch — 説明文で一致 （AI の判定: 影響を受けるか 非該当）
Malcolm's upload-processing pipeline (scripts/safe-extract.py) enforces entry-count, nesting-depth, and total-uncompressed-byte limits when extracting container archives (zip/tar/rar/7z via libarchive), but those limits are not applied when the uploaded file is a single-stream compressed format (.gz, .bz2, .xz, .lzma, .lz) that isn't a .tar.*-style archive. Any authenticated user permitted to upload PCAP/log files can upload a small, highly compressible file (e.g. a gzip bomb) that decompresses to an effectively unbounded size on disk, exhausting the shared Docker volume used by OpenSearch, Logstash, Arkime, and Zeek, and disrupting the platform for all users.
Malcolm のアップロード処理パイプライン（scripts/safe-extract.py）は、コンテナアーカイブ（libarchive 経由の zip/tar/rar/7z）の展開時に、エントリー数、ネストの深さ、展開後の合計バイト数に上限を設けています。しかし、アップロードされたファイルが単一ストリーム圧縮形式（.gz、.bz2、.xz、.lzma、.lz）で、.tar.* 形式のアーカイブではない場合、これらの上限は適用されません。PCAP/ログファイルのアップロードを許可された認証済みユーザーは、小さくて圧縮率の高いファイル（例：gzip bomb）をアップロードでき、ディスク上で事実上無制限のサイズに展開される可能性があります。その結果、OpenSearch、Logstash、Arkime、Zeek が共有する Docker ボリュームが容量不足になり、すべてのユーザーに影響する形でプラットフォームの動作が妨げられます。
変更履歴
-
2026-10-09 04:05
- Matched（該当） と判定した
→ Matched（該当）