Aklivity Zilla の http-filesystem バインディングでパストラバーサル（CVE-2026-120324、CVSS v3.1 8.3）: 攻撃手法が公開済み、2.5.0-rc3 以降で修正

NVD は 2026-11-02 に、オープンソースのストリーミング・API ゲートウェイ「Aklivity Zilla」の脆弱性 CVE-2026-120324 を登録しました。登録元は VulDB です。http-filesystem バインディングの FileSystemServerFactory にある Path.resolve で、リクエストのパラメーター（params）が検査されずにパスの解決に使われ、パストラバーサル（CWE-22）が起きる問題です。影響を受けるのは 1.3.4／2.4.7／2.5.0-rc2 までの版で、登録元の説明では、ネットワーク経由で攻撃でき、攻撃手法（エクスプロイト）が公開されているとされています。CVSS v3.1 は 8.3（AV:N／PR:N、機密性・完全性・可用性がそれぞれ「低」、スコープ変更あり）、修正版は 2.5.0-rc3 です。

何が起きるか

• 対象は Aklivity Zilla の http-filesystem バインディングを使っている構成で、1.3.4、2.4.7、2.5.0-rc2 までの版です。
• 登録元の説明では、params に細工した値を与えると、設定で想定したディレクトリの外のパスが解決されます。認証は不要（PR:N）で、利用者の操作も要りません。
• 影響は機密性・完全性・可用性のいずれも「低」と評価されています。意図しないファイルの読み出しや、サービスへの影響が起こり得ますが、どこまで及ぶかは構成によります（推定）。
• 参照先に、概念実証（PoC）にあたる解説ページがあります。本記事では攻撃の詳細は扱いません。

修正の状況

• 登録元の説明では、2.5.0-rc3 へ更新すれば直るとされ、修正コミットは 46a8b15 と記されています。
• 参照先の開発元の Pull Request #2623 は、取得できた範囲では 2026-10-15 に develop ブランチへマージ済みでした。題名は、with.path でガード値を解決できるようにする変更と、ドットだけのパス区間を拒否する強化です。タイトル以外の変更の細部までは確認していません。
• GitHub のリリース一覧には 2.5.0（2026-10-19）と 2.6.0（2026-10-22）があります。修正が入ったのが 2.5.0-rc3 より後の版であれば、これらにも含まれると考えられます（推定）。2.5.0-rc3 のリリースページ自体は取得できませんでした。
• 1.3.4 系と 2.4.7 系は影響版に含まれますが、それぞれの系列で修正版が出ているかは確認できていません。1.x や 2.4.x を使っている場合は、2.5.0 以降への更新が必要になる可能性があります（推定）。

数値と出典（2026-11-02 時点）

CVE	製品	影響版	種類	認証	CVSS v3.1	CVSS v4.0	CWE	EPSS
CVE-2026-120324	Aklivity Zilla（http-filesystem バインディング）	1.3.4／2.4.7／2.5.0-rc2 まで	パストラバーサル	不要	8.3	5.5	CWE-22	公開直後のため未算出

• NVD の状態は Received で、NVD 自身の評価はまだありません。CVSS は登録元（CNA）の値で、v3.1 のベクターは AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L（8.3）、v4.0 は 5.5（悪用の成熟度は「概念実証あり」）です。
• EPSS（FIRST）は 2026-11-02 時点で未登録のため、公開直後のため未算出です。
• KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、カタログ 2026.10.30 版・1766 件）。

severity を high とした理由

認証なしでネットワークから攻撃でき、攻撃手法が公開されているため、high を提案します。一方で、機密性・完全性・可用性への影響は「低」と評価されており（v4.0 は 5.5）、実際の攻撃での悪用は確認しておらず、KEV にも載っていません。修正版も出ているため、critical にはしていません。medium とする見方もあります。

対応として考えられること

1. 自組織で Aklivity Zilla を使っているか、http-filesystem バインディングを設定しているかを確認します。
2. 版が 1.3.4／2.4.7／2.5.0-rc2 までに当たる場合は、2.5.0 以降（NVD の記載では 2.5.0-rc3 以降）へ更新します。更新後に版数を再確認します。
3. 更新までの間は、http-filesystem バインディングを外部に公開しない、または前段のリバースプロキシでパス区間に ../ などを含む要求を遮断します（推定）。
4. ゲートウェイのプロセスが読める範囲に機密ファイルを置かない構成にします（推定）。
5. アクセスログに、不審なパス区間を含む要求がないかを確認します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。公開されている手法はありますが、KEV には未掲載です。
• 2.5.0-rc3 のリリースページと、修正コミットの全体の内容は確認していません。2.5.0 以降に修正が含まれるのは推定です。
• 1.3.x 系と 2.4.x 系で修正版が出ているかは確認していません。
• インターネットに公開されている Zilla の数や、http-filesystem バインディングの利用割合は確認していません。
• NVD 自身の評価は未実施（Received）です。CVSS は登録元の値です。