CVE-2026-58138-Conductor-Unauth-RCE

CVE-2026-58138 — Conductor (3.21.21..<3.30.2) 認証不要のRCE、INLINE GraalVM evaluator（HostAccess.ALL）経由。ラボ + PoC、エンドツーエンドで検証済み（root）。

バージョンに関する注意（お読みください）。 影響範囲内で評価機能の設定は異なります： ~3.29.x までのバージョン（このラボでは 3.22.3 を使用）は、プレーンな allowHostAccess(HostAccess.ALL) でコンテキストを構築します — これは CVE が説明しているサンドボックスなしの設定であり、この PoC が直接悪用するものです。 3.30.0/3.30.1 ラインでは 部分的な denyAccess(...) ブロックリスト（リフレクションをブロック）が追加されました；完全な修正（allowHostClassLoading(false) + エンジンの強化）は 3.30.2 でのみ適用されます。この PoC はプレーンな HostAccess.ALL 設定を対象としており、3.30.1 のブロックリストをバイパスするとは 主張しません。

根本原因

core/.../events/ScriptEvaluator.java (≤ 3.29.x / 3.22.3):

HostAccess.ALL により、スクリプトは Java ホストオブジェクトの任意のメソッド/フィールドを呼び出せます。INLINE タスクは入力を $（実際の Java オブジェクト）としてバインドするため、スクリプトは次のようにピボットできます： $.getClass().getClass() → java.lang.Class → Class.forName("java.lang.Runtime") → Runtime.getRuntime().exec(...)。Python 評価機能も同等です（Context.newBuilder("python").allowAllAccess(true)）。

悪用

1. 悪意のある expression を含む INLINE タスクを持つワークフローを登録します（POST /api/metadata/workflow、認証なし）。
2. 開始します（POST /api/workflow/{name}、認証なし）。
3. INLINE タスクが JS を評価し、リフレクティブな Runtime.exec がコマンドを実行し、PoC はその stdout をタスク結果として返します。

再現

観測結果：

uid=0(root) は Conductor プロセスのユーザーです；出力はライブの id/uname 状態 — 実際の実行であり、エコーではありません。exploit.py は Python 標準ライブラリのみを使用しています。

影響

Conductor API にアクセスできる者は誰でも、オーケストレーターホスト上で任意の OS コマンド（ここでは root として）を実行できます — ワークフローエンジン、その永続化/キュー、およびそのワークフローと保存された認証情報が触れるすべてのシステムが完全に侵害されます。

修復

• Conductor ≥ 3.30.2 にアップグレードする（JS/Python 評価機能はホストアクセス/クラスローディングが有効な状態では実行されなくなります）。
• 多層防御：Conductor API の前に認証を配置し、サーバーを非 root の最小権限ユーザーとして実行し、ワークフローの登録/実行を制限します。

検出

INLINE/LAMBDA/DO_WHILE/SWITCH タスクに getClass、forName、Runtime、exec、ProcessBuilder、または java. リフレクションを参照する expression 文字列が含まれているワークフロー定義、およびシェルを起動する Conductor プロセスをフラグします。

リフレクションチェーン、バージョン間の評価機能設定、パッチについては ANALYSIS.md を参照してください。

• 著者: Caio Fabrício — github.com/BiiTts
• 脆弱性のクレジットは元の報告者/ベンダーアドバイザリに帰属します；このリポジトリは防御的および教育的な使用のための独立した再現可能なラボ＋PoCです。許可されたセキュリティテスト専用。