GNU Wget2 の脆弱性 CVE-2025-69194：悪意の Metalink ファイルによるパス・トラバーサル

GNU Wget2 Vulnerability Enables Remote File Overwrite Attacks

2026/01/02 gbhackers — GNU Wget2 に、深刻度の高いセキュリティ脆弱性 CVE-2025-69194 (CVSS：8.8： Important) が発見された。このコマンドライン・ツールは、Web からのファイル・ダウンロードで多用されるものであり、脆弱性を悪用するリモートの攻撃者は、ユーザーの許可を得ることなく、ユーザーのコンピュータ上のファイルを上書きできる状態になる。したがって、GNU Wget2 を用いてコンテンツをダウンロードするユーザーに、深刻なリスクが生じている。

攻撃の仕組み

この脆弱性は、Wget2 が Metalink ドキュメントを処理する方法に起因する。Metalink ドキュメントには、単一のファイルをダウンロードするための、複数の手段 (mirror／peer-to-peer など) が含まれる。

FeatureDetails
CVE IDCVE-2025-69194
Vulnerability TypeArbitrary File Write (Path Traversal)
SeverityHigh (Important)
CVSS Score8.8 / 10

通常において、Wget2 が Metalink ファイルを処理する際には、ダウンロードしたファイルの保存先が厳密に制御される必要がある。

しかし、Apache のセキュリティ研究者が明らかにしたのは、Metalink ドキュメント内で指定されたファイルパスを、Wget2 が正しく検証していないというバグである。

この問題は、パストラバーサルの脆弱性に分類されるものであり、ファイル名に細工を施した悪意の Metalink ファイルの作成が、攻撃者に許される状況にある。つまり、”../” 文字列を用いることで、多くのケースにおいてダウンロード・ディレクトリ外へとパスを逸脱させることが可能になる。

この悪意の Metalink ファイルを、ユーザーがダウンロードして処理する際に、システム上の許可されていない場所へデータを書き込ませることを、攻撃者は Wget2 に対して指示できてしまう。

この脆弱性の影響は深刻である。攻撃者が悪用に成功した場合には、以下の被害が発生する可能性がある。

  • 重要なファイルの上書き：重要なシステム・ファイルやユーザー・ドキュメントの置き換えおよび破損が生じる。それにより、恒久的なデータ損失につながる可能性がある。
  • 悪意のコード実行：自動実行される設定ファイルやスクリプトの上書きにより、攻撃者がユーザー・システムを制御する恐れがある。
  • セキュリティのバイパス：パスワードファイルやセキュリティ・コンフィグが変更され、ユーザーがロックアウトされる可能性がある。また、バックドアが作成される可能性も生じる。

この攻撃の前提条件として、ユーザーによる悪意のファイルの操作が必要となる。しかし、想定される被害の大きさを考慮すると、きわめて深刻なセキュリティ問題である。

Web からのファイル・ダウンロードで多用される、GNU Wget2 に深刻なパス・トラバーサルの脆弱性が発見されました。この問題の原因は、Metalink というダウンロード用ドキュメントを処理する際に、ファイル名や保存場所のチェックが不十分だったことにあります。本来であれば、ダウンロードされたファイルは特定のフォルダ内に収まるべきですが、プログラムが “../” のような特殊な文字列を正しく制限できていない状況にあります。そのため、悪意のファイルを受け取ると、意図しない場所にある大切なデータを上書きされたり、システムの設定を勝手に書き換えられたりする隙が生まれています。なお、アップデートに関する情報は、文中で参照されている Red Hat には存在しませんでした。その一方で、snyk には “Upgrade gnuwget/wget2 to version 2.2.1 or higher” と記載されていました。