注目★★★★★GitHub Advisory
yt-dlp の --write-link オプションに RCE 脆弱性、悪意あるメタデータで任意コマンド実行
30秒で把握
- 1yt-dlp の --write-link / --write-url-link / --write-desktop-link オプションが悪意あるメタデータによるコマンドインジェクションに対応していない
- 2攻撃者が細工したメタデータを配信することで、生成される .url / .desktop ファイルを通じた任意コマンド実行が可能に
- 3Windows .url 形式の file:// URI インジェクションと Linux .desktop 形式のコマンドパラメータインジェクションが攻撃ベクトル
要約
yt-dlp の --write-link、--write-url-link、--write-desktop-link オプションに脆弱性が存在し、攻撃者が細工したメタデータを用いて生成される.url /.desktop ファイルに任意のコマンドを注入できる。ユーザーが生成されたショートカットファイルを実行すると、攻撃者の任意のシェルコマンドまたはリモート実行可能ファイルが実行される。Windows の.url ファイルでは file:// URI インジェクション、Linux の.desktop ファイルではコマンドラインパラメータインジェクションが利用される。該当オプションを使用している場合は速やかなパッチの適用が必要。
あなたへの影響
yt-dlp を CI/CD パイプラインや自動ダウンロードスクリプトで使用する場合、--write-link 系オプションを無効化するか最新版への更新を即実施すべき。
推奨：特にメタデータが信頼できないソースから取得される場合はリスクが高い。