Yelpは、Ubuntu、Fedora、Debianなどの広く使用されているシステムを含む、GNOMEベースのLinuxディストリビューションのデフォルトのヘルプブラウザです。Mallard XML形式で記述されたヘルプドキュメントのレンダリングを担当し、ghelp:// URIスキームを介してデスクトップ環境と緊密に統合されています。この統合により、アプリケーションやユーザーはプロトコルリンクを使用してヘルプトピックを直接開くことができ、ユーザーガイドやドキュメントにアクセスするための中核的なユーティリティとなっています。
Yelpに最近、特別に細工されたヘルプドキュメントを安全でない方法で処理できる脆弱性が発見されました。CVE-2025-3155として識別されるこの脆弱性を悪用されると、ヘルプファイルに埋め込まれた任意のスクリプトが実行され、機密性の高いユーザーデータが外部システムに漏洩する可能性があります。
脆弱性の概要
CVE-2025-3155 は、GNOME ヘルプ ブラウザ Yelp の脆弱性であり、Mallard XML 形式で記述されたヘルプ ドキュメントの処理に関連しています。
攻撃者は、XInclude を用いて任意のローカルファイル（/etc/passwd や SSH 秘密鍵など）の内容をヘルプコンテンツに直接埋め込む悪意のある .page ファイルを作成する可能性があります。ユーザーがこのファイルを Yelp で開くと、参照ファイルが読み込まれ、インターフェース内でレンダリングされるため、ローカルファイルの漏洩につながります。
攻撃者は、細工したヘルプファイル内にJavaScriptを含むSVG要素を埋め込むことも可能です。Yelpによって処理されると、これらのスクリプトがレンダリングプロセスの一部として実行され、含まれるファイルコンテンツを外部サーバーに流出させる可能性があります。この脆弱性はYelpのバージョン42.1までに影響し、Ubuntu 22.04などのGNOMEベースのディストリビューションでも確認されています。
攻撃フロー
CVE-2025-3155のエクスプロイトは、悪意のあるMallard .pageヘルプファイルを被害者に配信し、Yelpの動作を利用して機密性の高いローカルファイルにアクセスし、潜在的に漏洩させることを伴います。このプロセスは、以下のステップに分けられます。
悪意のあるファイルを作成してホストする
攻撃者は、機密性の高いローカルファイルを参照するためのXIncludeディレクティブを含む悪意のある.pageファイルを作成し、SVGベースのJavaScriptを埋め込んで情報漏洩を企みます。このファイルは、攻撃者が管理するウェブページにホストされます。
被害者のシステムにファイルを置く
攻撃者はソーシャルエンジニアリングやドライブバイダウンロードの手法を通じて、細工したファイルを被害者のシステム上のユーザーが書き込み可能なディレクトリに配信します。
ghelp URIスキーム経由でYelpをトリガーする
攻撃者は、被害者を、以前にダウンロードした悪意のあるページファイルを参照する、細工された ghelp:// リンクに誘導します。アクセスすると、Yelp はファイルを開いて処理を開始します。
Yelpがコンテンツを処理して盗み出す
Yelp がページファイルを開くと、XInclude ディレクティブを処理し、指定されたローカルファイルからコンテンツを読み取ります。ファイルに SVG スクリプトが埋め込まれている攻撃シナリオでは、抽出されたデータが攻撃者が管理するサーバーに流出する可能性があります。
現実世界への影響
CVE-2025-3155は、Yelpのようなユーザー向けアプリケーションがローカルヘルプコンテンツを処理する方法に重大な脆弱性があることを示唆しています。この脆弱性により、攻撃者はSSH秘密鍵やパスワードストアといった機密性の高いユーザーファイルを盗み出す可能性があります。ホスピタリティ、エンターテインメント、エンタープライズLinuxワークステーションなどの標的環境において、この脆弱性を悪用すると、以下のような被害が発生する可能性があります。
- 機密ファイルや資格情報への不正アクセスにつながります。
- より広範な攻撃キャンペーンにおける横方向の移動の初期段階の足がかりとして機能します。
- バックドアやデータ窃盗マルウェアの展開を容易にします。
- 高度な脅威アクターによって実行される大規模なサイバー攻撃に先行またはサポートします。
最近のサイバー脅威レポートの証拠は、この脆弱性がすでに標的の業界の脅威グループによって悪用されていることを示唆しています。
CVE-2025-3155への対策
この脆弱性の悪用から Linux システムとユーザーを保護するために、次の対策を強く推奨します。
Yelpを直ちにアップデートしてください： Yelpをバージョン42.2以降にアップデートしてください。このバージョンでは脆弱性が修正されています。
ghelp:// URIの使用を制限する：信頼できないソースやリンクからヘルプファイルを起動しないようにしてください。URIサンドボックス化やポリシー適用によって、ghelp://ハンドラの公開範囲を制限することを検討してください。
ファイルアクセス権限を強化する： ~/.ssh/id_rsaなどの機密ファイルやその他の秘密情報に対する読み取り権限を制限してください。ユーザー権限を定期的に監査し、可能な限り暗号化されたキーストレージを使用してください。
Yelpの動作を監視する：監視は主要な対策ではありませんが、セキュリティチームは、脆弱性悪用後の兆候を確認するためにYelpの使用状況を監査することを選択する場合があります。Yelpが機密ファイルにアクセスしたり、ネットワーク接続を開始したりするなどの異常なパターンは、脆弱性の悪用が試みられたことを示唆する可能性があります。これは、単独の防御策としてではなく、より広範なエンドポイントの可視化の一環として使用する必要があります。
エンドユーザーへの教育：出所不明のヘルプファイルを開くリスクについてユーザーに周知し、偽造されたサポートドキュメントを認識できるようにしましょう。.page ファイルは潜在的に有害なファイルであるという認識を広める啓発キャンペーンを実施してください。
パッチ管理をプロアクティブな監視およびユーザー教育と組み合わせることで、組織は CVE-2025-3155 によってもたらされるリスクを軽減し、より大規模な攻撃チェーンの踏み台として利用されるのを防ぐことができます。
結論
CVE-2025-3155は、ローカルドキュメントのレンダリングを目的とした機能が、意図しないデータ漏洩の媒介となり得ることを示しています。XIncludeやURIベースの呼び出しといった機能を悪用することで、攻撃者はユーザーの明示的な同意なしに機密ファイルを開示し、外部に持ち出すことを可能にする、低インタラクションのエクスプロイトチェーンを構築できます。この事例は、ローカルアプリケーションにおける厳格なコンテンツ処理の重要性を強調し、未知のファイル形式やプロトコル駆動型リンクに対するユーザーによるタイムリーなアップデートと警戒の必要性を改めて示しています。
参照：
(CVE-2025-3155) ghelp スキームを悪用して任意のファイルを読み取る
著者：
ヴィネイクマール
アドリプ・ムケルジー
