CVE-2026-39842

概要

OpenRemoteはオープンソースのIoTプラットフォームです。バージョン1.21.0以下には、ルールエンジンに2つの相互に関連する式インジェクションの脆弱性が存在し、サーバー上での任意のコード実行を可能にします。JavaScriptルールエンジンは、サンドボックス化、クラスフィルタリング、アクセス制限なしに、ユーザーが提供したスクリプトをNashornのScriptEngine.eval()を介して実行します。また、RulesResourceImplの認可チェックはGroovyルールをスーパーユーザーのみに制限する一方で、JavaScriptルールはwrite:rulesロールを持つ任意のユーザーに対して無制限のまま残しています。さらに、GroovyルールエンジンにはGroovyDenyAllFilterセキュリティフィルタが定義されていますが、登録コードがコメントアウトされているため、このフィルタは決して登録されず、スーパーユーザーが作成したGroovyルールに対してSandboxTransformerが無効になっています。write:rulesロールを持つ非スーパーユーザーの攻撃者は、完全なJVMアクセスで実行されるJavaScriptルールセットを作成でき、rootとしてのリモートコード実行、任意のファイル読み取り、データベース資格情報を含む環境変数の窃取、および全レルムにわたるデータへのアクセスを可能にする完全なマルチテナント分離バイパスを実現できます。この問題はバージョン1.22.0で修正されています。

• CVE-2026-39842エクスプロイト

  OpenRemoteのRules Engineにおける重大なリモートコード実行の脆弱性により、`write:rules`ロールを持つ認証済みユーザーが、サーバー上でroot権限を持つ任意のコードを実行できる可能性があります。