[CVE-2026-21858] Ni8mare: n8n 認証バイパスおよびリモートコード実行

1. 脆弱性の概要

• 名称: Ni8mare
• CVE ID: CVE-2026-21858
• CVSS スコア: 10.0 (Critical)
• 脆弱性の種類: 認証バイパス、ローカルファイルインクルージョン (LFI)、リモートコード実行 (RCE)
• 影響を受けるバージョン: n8n バージョン 1.65.0 以前
• パッチバージョン: n8n 1.121.0 (2025年11月リリース)

2. 脆弱性の説明 この重大な脆弱性により、リモートの未認証攻撃者がフォームベースのワークフローを介してサーバーファイルへの不正アクセスを取得できます。このローカルファイルインクルージョン (LFI) は機密データを露出させ、より深いシステム侵入の足がかりを提供します。

3. 技術的分析 CVE-2026-21858 の根本原因は、n8n がウェブフックとアップロードされたデータを処理する際に使用するメカニズムにあります。 障害のメカニズム

   • Content-Type の処理: HTTP リクエストを受信すると、n8n は Content-Type ヘッダーに基づいてコンテンツを分析し、データの処理方法を決定します。
   • 検証の欠落: ワークフロー内の特定のファイル処理関数は、ファイルデータを操作する前に Content-Type を適切にチェックできません。
   • 変数の操作: この見落としにより、攻撃者はファイル情報を含む変数を制御し、システム上の任意のパスを指定できるようになり、アップロード機能を事実上、不正なローカルファイル読み取りメカニズムに変えてしまいます。
   • 脆弱なロジック: 通常のフローでは、n8n は Formidable を使用して multipart/form-data アップロードをランダムな一時パスに安全に解析します。しかし、攻撃者が Content-Type を application/json に変更すると、n8n は別のパーサー (parseBody()) を使用し、ユーザーが制御する値 (任意のファイルパスを含む) を直接 req.body.files に設定します。
   • 影響を受けるソースコード: 重大な欠陥は packages\nodes-base\nodes\Form\utils\utils.ts にあります。

4. エクスプロイトチェーン 研究者らは、システムの完全乗っ取りにつながる実用的なエクスプロイトチェーンを実証しています:

   • データベースアクセス: n8n データベースファイルを直接読み取り、管理者 ID、メールアドレス、ハッシュ化されたパスワードを抽出します。
   • 暗号化キーの抽出: 設定ファイルを読み取り、システムの暗号化キーを取得します。
   • セッション偽造: 偽造された Cookie を使用して管理者ログインセッションを偽造します。
   • リモートコード実行 (RCE): 管理者アクセスを取得すると、攻撃者は新しいワークフローを作成してホストサーバー上で任意のコマンドを実行できます。
   • 完全な侵害: 完全なアクセスにより、保存されているすべての API キー、OAuth トークン、データベース接続、クラウドサービス認証情報が露出します。

5. PoC

   対象エンドポイント: エクスプロイトは通常、/form/vulnerable-form などのエンドポイントを対象とします。