CVE-2026-58138: Conductor の認証なし RCE

CVE-2026-58138 の再現キットです。これは Conductor の CVSS 9.8 のコードインジェクション脆弱性です。OpenTaint ルールと GraalVM 近似、独立したルールテスト、スキャン結果、実際に動作するエクスプロイトが含まれています。

このスキャンは Conductor v3.23.0 を対象とし、認証なしのワークフロー入力からホストへのフルアクセスが可能な GraalVM 評価器に至る 2 つの検出結果を報告します。各検出結果には 4 つの HTTP エントリポイントフローが含まれます:

core/src/main/java/com/netflix/conductor/core/events/ScriptEvaluator.java:203
core/src/main/java/com/netflix/conductor/core/execution/evaluators/PythonEvaluator.java:63

内容

.opentaint/rules/ - ジョインルールとホストフルアクセス Context.eval シンク
.opentaint/model/config/ - GraalVM フルエントビルダー用のパススルーモデル
.opentaint/test-projects/ - ポジティブ / ネガティブのルールサンプル 15 件
results/report.sarif - 再現された OpenTaint の検出結果
poc/poc_inline_lambda_rce.py - 実際に動作するエクスプロイト

クイックルールテスト

OpenTaint と JDK 21 が必要です。

opentaint compile \
  .opentaint/test-projects/graaljs-polyglot-code-injection \
  --output /tmp/conductor-rule-model

opentaint test rule run /tmp/conductor-rule-model \
  --ruleset .opentaint/rules \
  --passthrough-approximations .opentaint/model/config

期待される結果: Passed: 15, failed: 0。

スキャンの再現

git clone --depth 1 --branch v3.23.0 \
  https://github.com/conductor-oss/conductor.git conductor

opentaint scan ./conductor \
  --ruleset builtin \
  --ruleset .opentaint/rules \
  --rule-id java/security/graaljs-polyglot-code-injection.yaml:graaljs-polyglot-code-injection \
  --passthrough-approximations .opentaint/model/config \
  --max-memory 16G \
  --output results/report.sarif

opentaint summary results/report.sarif --show-findings

期待される結果: 上記のシンクで java/security/graaljs-polyglot-code-injection の検出結果が 2 件出力されます。コマンドに示されている完全な <rule-file>:<rule-id> 値を使用して、OpenTaint がジョインによって参照されるソースルールとシンクルールも読み込むようにしてください。

エクスプロイトの再現

Conductor v3.23.0 をデフォルトのサーバー設定で起動し、次を実行します:

# JavaScript INLINE task
python3 poc/poc_inline_lambda_rce.py --base-url http://localhost:8000

# Other supported paths
python3 poc/poc_inline_lambda_rce.py --task-type lambda --variant js
python3 poc/poc_inline_lambda_rce.py --task-type inline --variant python

スクリプトはコマンド実行を確認するとステータス 0 で終了します。PoC は DO_WHILE と SWITCH にも対応しています。すべてのオプションを確認するには --help を指定して実行してください。

Conductor はこの脆弱性を 3.30.2 で修正しました。脆弱なパス、エクスプロイトの詳細、ルール設計、パッチ分析についてはケーススタディを参照してください。

cve-2026-58138

人気