CVE-2026-21994

概要

Oracle OKIT (oci-designer-toolkit) バージョン 0.3.0 には、連鎖して認証なしの完全乗っ取りにつながる2つの重大な設定ミスが存在します。公開リポジトリに公開されたハードコードされた Flask SECRET_KEY により、攻撃者は資格情報を一切必要とせずに有効な管理者セッション Cookie を偽造できます。さらに、Docker イメージは SSH ホスト検証を完全に無効化しており、ネットワーク攻撃者がインフラストラクチャのデプロイ中に OCI API キーや秘密鍵を傍受できるようになっています。

脆弱性

1. ハードコードされた SECRET_KEY — okitclassic/okitserver/config.py:4

SECRET_KEY='8980ffsd675747jjjh'

Flask はこのキーを使用してセッション Cookie に署名します。公開リポジトリにハードコードされているため、攻撃者は資格情報を一切持たずに有効な管理者 Cookie を偽造し、OKIT ダッシュボードにアクセスできます。

2. SSH ホスト検証の無効化 — Dockerfile:41

&& echo '  StrictHostKeyChecking no' >> /etc/ssh/ssh_config \
&& echo '  UserKnownHostsFile=/dev/null' >> /etc/ssh/ssh_config \