Vim CLI エディタの脆弱性 CVE-2025-53906 が FIX：不適切な ZIP 解凍によるパス・トラバーサル

Command-Line Editor Vim Hit by Vulnerability Allowing File Overwrites

2025/07/16 gbhackers — Vim の開発チームが公表したのは、Vim の zip.vim プラグインに存在する深刻なセキュリティ脆弱性に関する情報である。2025年7月15日に公開された、この脆弱性 CVE-2025-53906 が影響を及ぼす範囲は、Vim のバージョン 9.1.1551 未満となる。細工された ZIP アーカイブ・ファイルを処理する際の、ファイル・パスの不適切な制限処理に、この脆弱性は起因する。したがって、この欠陥を突く攻撃者は、被害者のシステム上で任意のファイルを上書きできる。さらに攻撃者は、特権ディレクトリ上に任意コードを配置できるため、最悪の場合には基盤となる OS 上でのコード実行が引き起こされ、システム全体の制御が奪われる可能性がある。

Vim は、CLI ヘースの人気の OSS テキスト・エディタであるが、その zip.vim プラグインには、ZIP アーカイブ内のファイル構造におけるパス・トラバーサル制御に欠陥があるため、意図するディレクトリ制限のバイパスを、攻撃者に対して許すことになる。なお、このパス・トラバーサル脆弱性は、CWE-22 “制限されたディレクトリへのパス名の不適切な制限” に分類されている。

FieldDetails
CVE IDCVE-2025-53906
TitleVim has path traversal issue with zip.vim and special crafted zip archives
CWECWE-22: Improper Limitation of a Pathname to a Restricted Directory (“Path Traversal”)
CVSS Score4.1 (Medium)
Affected VersionsAll versions prior to 9.1.1551
Patched Version9.1.1551

この脆弱性の CVE 登録は GitHub により行われ、すでに Vim の開発元は、バージョン 9.1.1551 をリリースし、この問題を修正している。

なお、以下のベクター文字列に基づき、CVSS v3.1 スコアは 4.1 (Medium) と評価されている：

  • CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:C/C:N/I:L/A:L

このスコアが示すのは、攻撃を成功させるためには、以下の前提条件のクリアーが必要なことだ：

  • ターゲット・ユーザーによる、悪意の ZIP ファイルの開封へと誘導する必要がある。
  • 攻撃ベクターがローカルであり、ユーザーの操作を必要とする。
  • 悪用に成功した場合の影響は限定的ではあるが、Integrity／Availability に影響が生じる。

ただし、細工された ZIP アーカイブを、高権限ユーザーが開いた場合には、被害の範囲が拡大するとされる。この種の攻撃が成功すると、システム・コンフィグ・ファイルや機密ファイルの上書きが生じるため、管理者権限で実行されている Vim セッションは、きわめて危険な状況にある。

この脆弱性は、Vim 上のユーザーがアーカイブを、Vim 上でダイレクトに開く際にトリガーされる。したがって、ZIP ファイル内に細工されたファイル・パスを取り込むことで、標的とするシステム・ファイル領域への書き込みを誘発できる。

この脆弱性の特性上、注意を払うユーザーであれば、不審な動作に気づくかもしれない。しかし、ZIP アーカイブに潜むコードやファイル名を可視化できない初心者や、スクリプト経由で Vim を用いる自動化処理では、それらの検出は困難となる。

すでに Vim の開発チームは、ZI Pファイル処理時のファイルパス検証処理の強化と、パス・トラバーサル攻撃を防止するロジックを導入し、この問題に対処している。

すべての Vim ユーザーに対して、セキュリティ研究者たちが強く推奨するのは、バージョン 9.1.1551 以降への速やかなアップデートである。

また、組織の運用インフラでの自動処理や、外部アーカイブの編集において、Vim が使用されている場合には、管理者による優先的なアップデートを、すべてのシステムに対して迅速に実施する必要がある。

速やかなアップデートが不可能な環境では、ZIP ファイルの内容を事前検査するための、外部ツールの導入が推奨される。また、信頼性の確認されていない ZIP ファイルを Vim で開くという行為を、一時的に制限するなどの対応も検討すべきである。

人気のテキスト・エディタ Vim の zip.vim プラグインに、脆弱性 CVE-2025-53906 が発見されました。細工された ZIP ファイルを開くだけで、攻撃者に対してファイルの上書きを許すため、高権限ユーザーが標的とされると、深刻な被害にいたると、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Vim で検索も、ご参照ください。