何が起きたか
obsidian-tc で重大な欠陥が2件公表されました。1件目は、有効なトークンさえあれば、input.vault を指定するだけで設定済みのどの vault でも読み書き・削除できてしまうもので、複数テナントの分離が効いていませんでした。2件目は、HTTP トランスポートに Origin 検証と DNS リバインディング対策がなく、既定の auth.mode: none でループバックに置いた場合、閲覧しただけの Web ページから vault 全体を読み書きされうるものです。
やること
1.3.1 以上へ更新します。すぐ更新できない場合は、1プロセスで1つの vault だけを扱うかテナントごとにプロセスと認証情報を分け、HTTP トランスポートを auth.mode: none で公開せず JWT 認証を必須にしてください。
出典
obsidian-tc のセキュリティ勧告（vault の分離）github.com英語 ↗obsidian-tc のセキュリティ勧告（DNS リバインディング）github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。