JetBrainsはIntelliJ IDEAにおける深刻なパストラバーサル脆弱性を修正しました。この脆弱性を悪用すると、攻撃者は開発者をだまして悪意のあるプロジェクトを開かせるだけで、任意のコード実行を達成できてしまいます。
CVE-2026-59792として追跡されているこの欠陥はCVSSスコア9.6と評価されており、2026年7月10日に、IntelliJ IDEAおよびTeamCityを対象としたより広範なセキュリティ修正の一環として公表されました。
この脆弱性は、プロジェクトのワークスペース識別子の正規化処理が不適切であることに起因しています。攻撃者は「../」というディレクトリトラバーサルのシーケンスを埋め込むことで、IDEのパス検証ロジックを回避できてしまいます。
IntelliJ IDEAはプロジェクトの信頼関係を確立する前にワークスペースIDを処理するため、特別に細工されたプロジェクトを開いた瞬間に、本来意図されたサンドボックスディレクトリの外にファイルを書き込んだり実行したりできてしまいます。これにより、通常であれば何気ない「プロジェクトを開く」という操作が、開発者のマシン上での完全なコード実行につながってしまいます。
セキュリティ研究者のAntoni Tremblay氏が、社内トラッカーのIJPL-247564として本問題を報告したとされています。
注目すべき点として、この欠陥は標的システムへの事前の認証や権限を一切必要としません。そのため、悪意のあるリポジトリや共有プロジェクトが開発者に配布されるサプライチェーン型の攻撃において、特に危険性が高いといえます。
このパストラバーサルの不具合は、IntelliJ IDEAとTeamCityの両方に影響する、より大規模なJetBrainsのセキュリティアップデートの一部として公表されました。今回のアップデートでは、HTMLインジェクションからリモート開発セッションにおける認証バイパスに至るまで、複数の問題が対象となっています。
JetBrainsによると、現時点で実際の悪用は確認されていないものの、深刻度の高さとトリガーの容易さから、概念実証コードが急速に開発される可能性が高いとしています。
JetBrainsは、すべての開発者に対し、Toolbox App、IDE内蔵のアップデーター、またはJetBrains公式サイトからの直接ダウンロードを利用して、IntelliJ IDEAをバージョン2026.1.4以降、または最新パッチを適用した2026.2に更新するよう呼びかけています。
TeamCityの管理者についても同様に、Perforce統合とXSSに関する欠陥を解消するため、2026.1.2以降へのアップグレードが求められます。
パッチが適用されるまでの間、組織は検証されていないサードパーティ製のプロジェクトファイルの取り扱いに注意し、脆弱なバージョンのIDEでそれらを開くことを避けるべきです。今回のワークスペースIDの欠陥がいかに容易にトリガーされ得るかを踏まえると、この点は特に重要です。
SOC調査の死角を減らすANY.RUNを使えば脅威を早期に封じ込め、対応コストと業務への影響を軽減できます。
翻訳元: https://cyberpress.org/critical-intellij-idea-path-traversal-flaw/