JVNVU#98581917
GNU Wget にシンボリックリンクの扱いに関する問題

GNU Wget には、FTP の再帰的ダウンロード時におけるシンボリックリンクの扱いに問題があり、GNU Wget の実行権限の範囲内でローカルファイルシステム上の任意のファイルを操作される可能性があります。

• GNU Wget

リンク解釈の問題 (CWE-59)
GNU Wget は、サーバからファイルを取得するためのユーティリティです。GNU Wget で FTP サーバから再帰的にファイルをダウンロードする際、サーバから取得するディレクトリ一覧のなかに細工されたシンボリックリンクが仕込まれていると、Wget がローカルファイルシステム側の任意のファイルを作成したり上書きしたりする可能性があります。

遠隔の FTP サーバから再帰的にファイルをダウンロードする際、GNU Wget を使用しているユーザの権限で任意のファイルを作成されたり、任意のファイルを上書きされたりする可能性があります。

アップデートする
GNU Wget では、本問題の対策としてバージョン 1.16 をリリースしています。
このバージョンでは、サーバから取得したファイル一覧情報の検査が追加されています。
また、初期状態で retr-symlinks オプションを有効にしており、FTP サーバからの再帰的ダウンロード時に、サーバ側のシンボリックリンクに対応してローカル側にシンボリックリンクを作成しなくなります。

ワークアラウンドを実施する
retr-symlinks オプションを設定することで、FTP サーバからの再帰的ダウンロード時に、サーバ側のシンボリックリンクに対応してローカル側にシンボリックリンクを作成しなくなります。