CVE-2026-39842

요약

OpenRemote은 오픈소스 IoT 플랫폼입니다. 버전 1.21.0 이하에는 규칙 엔진에 두 가지 상호 연관된 표현식 주입 취약점이 존재하여 서버에서 임의 코드 실행이 가능합니다. JavaScript 규칙 엔진은 사용자가 제공한 스크립트를 샌드박싱, 클래스 필터링 또는 접근 제한 없이 Nashorn의 ScriptEngine.eval()을 통해 실행하며, RulesResourceImpl의 권한 검사는 Groovy 규칙만 슈퍼유저로 제한하고 JavaScript 규칙은 write:rules 역할을 가진 모든 사용자에게 제한 없이 허용합니다. 또한 Groovy 규칙 엔진에는 GroovyDenyAllFilter 보안 필터가 정의되어 있지만 등록 코드가 주석 처리되어 있어 실제로 등록되지 않으며, 이로 인해 SandboxTransformer가 슈퍼유저가 생성한 Groovy 규칙에 대해 무력화됩니다. write:rules 역할을 가진 비슈퍼유저 공격자는 전체 JVM 접근 권한으로 실행되는 JavaScript 규칙 세트를 생성할 수 있으며, 이를 통해 루트 권한으로 원격 코드 실행, 임의 파일 읽기, 데이터베이스 자격 증명을 포함한 환경 변수 탈취, 그리고 모든 영역의 데이터에 접근할 수 있는 완전한 멀티테넌트 격리 우회가 가능합니다. 이 문제는 버전 1.22.0에서 수정되었습니다.

• CVE-2026-39842익스플로잇

  OpenRemote의 Rules Engine에서 발견된 심각한 원격 코드 실행 취약점으로, `write:rules` 역할을 가진 인증된 사용자가 서버에서 루트 권한으로 임의 코드를 실행할 수 있습니다.