CVE-2026-12482 kerasのパストラバーサル脆弱性によるLLMインフラのディレクトリ脱出攻撃対策完全ガイド

結論

• 危険度: 情報なし
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-14 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-12482はkeras-team/kerasのバージョン3.12.0にある脆弱性です。攻撃者は悪意のあるtarアーカイブを作り、制限されたはずの解凍先以外にシンボリックリンクを作成できます。これにより、悪用者はファイルの読み取りや上書き、ディレクトリの外への脱出ができてしまいます。特にPython 3.10、3.11でkerasを使うLLMアプリケーション運用者にとって重要な問題です。

やさしく説明すると

tarファイルを解凍するとき、普通は不正なファイルがシステムの外に飛び出さないかチェックします。今回の脆弱性では、このチェックがシンボリックリンクに対して正しく働かず、不正に外へ飛び出したリンクが作れてしまいます。例えると、玄関の鍵をかけていても勝手に裏口から家に入られる感じです。これができると、重要ファイルを盗んだり書き換えられたりします。

技術的な原因

問題の根本はCWE-22「パス・トラバーサル」（Path Traversal）です。具体的には、kerasのfilter_safe_tarinfos関数がtar内のファイルパス検証を行いますが、シンボリックリンク（symlink）については同等の検証をせず、is_path_in_dirチェックを適用していません。これにより攻撃者は不正なリンクを作成し、本来の解凍先ディレクトリ外にファイルアクセスが可能になります。Python3.10/3.11環境ではこの関数が唯一の防御策であるため影響が大きいです。

影響を受けると何が困るか

• 攻撃者がシステム上の重要ファイルを不正に読める
• 既存ファイルを書き換えられ、システム挙動を改変される
• DockerコンテナやAIサーバの分離境界を突破される恐れ
• AIモデルやRAGパイプラインの重要データが改ざんされるリスク
• バイブコーダー開発に使う環境で、ローカルファイルへの不正アクセスを許す可能性

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【低】

判断根拠

• CVSSスコアは公式から未提供。脆弱度は低～中程度と推測される
• EPSSスコア未提供。悪用予測は不明
• ランサムウェア悪用は不明（CISA KEVにも未登録）
• 公開PoCや攻撃コードはGithub上に存在しない
• 攻撃にはネットワーク越しの認証不要なコード実行は不要だが、tar展開機能を使用する環境限定

誰が動くべきか

• LLMアプリケーションやAIフレームワークでkeras3.12.0を採用しているエンジニア
• Python 3.10/3.11環境向けのAI Gateway運用者（LiteLLM/OpenRouter等）
• Agentフレームワーク開発者でkerasを依存している場合（LangChain/AutoGen含む）
• バイブコーダー開発者でAI駆動コード作成環境に影響がある場合（Cursor/Cline/Copilot等）

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show keras

出力例:

Name: keras
Version: 3.12.0
Summary: Deep Learning for humans

判定: Version: 3.12.0なら対象

Python (pip 複数パッケージ確認)

pip list | grep keras

出力例:

keras                       3.12.0
tensorflow                  2.14.0

判定: keras 3.12.0があれば対象

設定確認

本脆弱性はkerasのtar展開処理の内部検証欠陥です。設定依存はありません。tar展開機能を用いている限り、脆弱性は存在します。よって対象バージョンが使用されていれば脆弱です。

Nucleiテンプレートでの検出

本CVEに対応した公開Nucleiテンプレートは現時点で存在しません。バージョン確認での検知を優先してください。

STEP 4: 修正を適用する

パッチ適用

Python (pip)

pip install --upgrade keras

判定: 最新版が 3.12.1以上なら安全

注意: パッチ適用前に環境のバックアップを必ず取得してください。特に本番AI GatewayやAgent環境でテスト運用を行い、動作安定性を確認してから展開してください。

パッチ即時適用ができない場合の暫定対応

現時点でベンダーから公式の暫定対応は提示されていません。tarファイルの展開処理を制限できる場合は、外部からの不審なtarファイルの受け取りを遮断してください。また、関連サービスのネットワークアクセス制限やWAFルールで未知リクエストのブロックを検討してください。

STEP 5: 修正されたことを確認する

STEP 3で紹介したバージョン確認コマンドを再度実行してください。

期待される出力

Python (pip)

pip show keras

出力例:

Name: keras
Version: 3.12.1
Summary: Deep Learning for humans

判定: バージョンが 3.12.1 以上ならOK

追加で確認すべきこと

利用可能な場合は、アップデート後のNucleiテンプレートによる再スキャンを実施してください。また、AI GatewayやAgentのログにtarファイルの不正アクセスや異常なファイル操作ログがないか監視することを推奨します。

補足: 悪用観測状況

現時点でCVE-2026-12482に関するランサムウェア等による悪用は報告されていません。GitHub上にも公開PoCや悪用コードは存在しません。CISAのKnown Exploited Vulnerabilities (KEV) カタログにも登録されていません。したがって実環境での悪用観測はありませんが、将来的に調査・監視は続けてください。

補足: CVSSメトリクス詳細

• AV (Attack Vector: 攻撃経路) – ネットワークやローカルなど、攻撃がどのように行われるかを示す指標（本件はローカル内のtar処理が対象）
• AC (Attack Complexity: 攻撃の困難さ) – 攻撃成功に必要な条件の複雑さ（本件は特殊なtarアーカイブ作成が必要でやや高い）
• PR (Privileges Required: 必要な権限) – 攻撃者が持つべき権限（本件はtar展開権限が必要）
• UI (User Interaction: ユーザ操作) – 攻撃に利用者の操作が必要か（本件は特に外部tarを開く操作が必要）
• S (Scope: 範囲変更) – 攻撃の影響範囲（本件は同一システム内でのファイルアクセス）
• C, I, A (Confidentiality, Integrity, Availability) – 情報漏洩、改ざん、サービス停止の影響評価

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3のバージョン確認を行い、3.12.0ならSTEP 4で最新版へのアップグレードを実施してください。詳細コマンドは本文にあります。

Q. パッチが適用できない場合、どうすればよいですか？

A. 存在する場合はtarの解凍を受け付けない設定変更、アクセス制限、WAFルールを追加してください。公式の暫定対応はまだありません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. AI Gatewayのログでtar解凍操作の異常や不審なファイル書き換えを監視してください。現状公開されたIOCはありません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは「実際に攻撃に使われる可能性」を示します。両方を確認すると優先度判断が正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-22のパストラバーサル系脆弱性は他製品でも多数報告されています。特にtarファイル処理に関する問題が多いです。

参考文献

• NVD
• GitHub Advisory Database – GHSA-58hv-7753-xmfq
• Huntr Bounty Report

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• パストラバーサル に関するCVE・脆弱性記事一覧
• 機械学習 に関するCVE・脆弱性記事一覧
• Python に関するCVE・脆弱性記事一覧