🚨 CVE-2026-58138 — 認証不要のリモートコード実行

🔥 Conductorにおける重大な認証不要のリモートコード実行

影響を受けるバージョン: 3.21.21 → < 3.30.2

📌 概要

CVE-2026-58138 は、Conductor / Orkes Conductor に影響を与える重大な認証不要のリモートコード実行（RCE） 脆弱性です。

この脆弱性は、GraalVM を介して評価されるユーザー制御のスクリプト式をアプリケーションが処理する際に存在します。安全でない評価設定により、ホスト機能が攻撃者制御の式に公開される可能性があります。

脆弱な設定では、認証されていないリモート攻撃者が悪意のある式を含む細工されたワークフロー定義を送信し、Conductorプロセスのセキュリティコンテキストでコマンドを実行できる可能性があります。

⚠️ 重大度: CRITICAL — 直ちにパッチを適用することを強く推奨します。

🧾 脆弱性情報

🎯 影響を受けるバージョン

以下のバージョン範囲が影響を受けると報告されています:

>= 3.21.21
<  3.30.2

バージョンステータス

🔍 技術概要

この脆弱性は、GraalVM ポリグロットコンテキスト を介した安全でないスクリプト評価に関連しています。

影響を受けるワークフロータスク機能には以下が含まれる可能性があります:

• INLINE
• LAMBDA
• DO_WHILE
• SWITCH

このセキュリティ問題は、攻撃者制御の式が基盤となるホスト環境への過剰なアクセス権限で評価されるときに発生します。

潜在的に危険な評価設定には過剰なホストアクセスが含まれ、ユーザーが提供したスクリプトがJavaホストオブジェクトやシステムレベルの機能と対話できるようになります。

高レベルの攻撃対象領域

┌─────────────────────┐
│ Remote Attacker     │
└──────────┬──────────┘
           │
           │ Crafted Workflow Definition
           ▼
┌─────────────────────┐
│ Conductor API       │
│ Authentication Gap  │
└──────────┬──────────┘
           │
           ▼
┌─────────────────────┐
│ Workflow Engine     │
│ Script Evaluation   │
└──────────┬──────────┘
           │
           ▼
┌─────────────────────┐
│ GraalVM Evaluator   │
│ Unsafe Host Access  │
└──────────┬──────────┘
           │
           ▼
      ⚠️ SECURITY RISK

💥 潜在的な影響

悪用に成功すると、攻撃者は以下を実行できる可能性があります:

• 🚨 Conductorプロセスコンテキストでコマンドを実行
• 🔐 機密性の高いアプリケーションデータへのアクセス
• 🗄️ 接続されたインフラストラクチャサービスへのアクセス
• 🔑 公開された認証情報やシークレットの取得
• 🔄 ワークフロー定義の変更
• 🌐 接続されたシステムへのピボット
• 💣 ワークフローオーケストレーションインフラストラクチャの侵害

実際の影響は、Conductorプロセスに割り当てられた権限に大きく依存します。

セキュリティのベストプラクティス: 不要な管理者権限やroot権限でワークフローオーケストレーションサービスを実行しないでください。

🛡️ 緩和策

1️⃣ 直ちにアップグレード

Conductorを以下にアップグレードしてください:

3.30.2 以降

2️⃣ APIアクセスの制限

Conductor管理APIをパブリックインターネットに直接公開しないでください。

推奨アーキテクチャ:

Internet
    │
    ▼
┌───────────────┐
│ WAF / Gateway │
└───────┬───────┘
        │
        ▼
┌────────────────┐
│ Authentication │
│ Authorization  │
└───────┬────────┘
        │
        ▼
┌────────────────┐
│ Conductor API  │
└────────────────┘

3️⃣ 最小権限の原則を適用

Conductorを制限されたサービスアカウントで実行してください。

回避すべきもの:

❌ root
❌ Administrator
❌ 特権インフラストラクチャアカウント

推奨されるもの:

✅ 専用サービスアカウント
✅ 最小限のファイルシステム権限
✅ 制限されたネットワークアクセス

4️⃣ ワークフロー定義の監視

潜在的に危険なスクリプト式を含むワークフロー定義を確認してください。

セキュリティ監視では、以下への予期しない参照を調査する必要があります:

Runtime
ProcessBuilder
java.lang
reflection
subprocess
shell execution

検出は文字列マッチングのみに依存するのではなく、不審な動作に焦点を当てるべきです。

🔎 防御的検出

セキュリティチームは以下を監視する必要があります:

• 予期しないワークフロー登録
• 認証されていないAPIアクティビティ
• 不審な INLINE タスク定義
• 異常なJavaプロセス動作
• Conductorによって生成された予期しない子プロセス
• シェルインタープリタの実行
• 予期しない外部ネットワーク接続
• 権限昇格の試み

監視フローの例

Conductor Logs
      │
      ▼
Workflow Registration Events
      │
      ▼
Expression Inspection
      │
      ▼
Suspicious Behavior Detection
      │
      ▼
🚨 SOC Alert

🧪 安全なバージョン検証

このリポジトリには非破壊的な検出ロジックのみを含める必要があります。

安全なチェッカーは以下を実行できます:

[✓] インストールされたバージョンの検出
[✓] 影響を受ける範囲とのバージョン比較
[✓] 公開されたサービスメタデータの特定
[✓] パッチステータスの報告
[✓] 修復ガイダンスの生成

以下を実行してはいけません:

[✗] コマンドの実行
[✗] 悪意のあるワークフローの送信
[✗] RCEの試行
[✗] サーバー設定の変更
[✗] 永続化の作成

📊 リスク評価

全体的なリスク

🔥 CRITICAL

🛠️ 推奨セキュリティチェックリスト

• 3.30.2 以降にアップグレード
• Conductor APIへのアクセスを制限
• 認証を要求
• ネットワークセグメンテーションを実装
• ワークフロー定義を確認
• プロセス実行を監視
• 最小権限でサービスを実行
• 保存された認証情報を監査
• 過去のAPIログを確認
• セキュリティアラートを実装

📚 参考情報

• GitHub Security Advisory
• NVD — CVE-2026-58138
• Conductor Repository
• Conductor v3.30.2 Release

⚠️ 免責事項

このリポジトリは、教育、防御、
および許可されたセキュリティ研究目的のみを対象としています。

所有していないシステム、またはテストする明示的な許可がない
システムを悪用しようとしないでください。

メンテナは誤用に対して一切の責任を負いません。

🏷️ タグ

CVE-2026-58138
Cybersecurity
Vulnerability Research
Remote Code Execution
RCE
Conductor
Orkes
GraalVM
CWE-94
Code Injection
Security Research
Blue Team
Defensive Security