Índice

1. Visão Geral da Vulnerabilidade
2. A Causa Raiz
3. Fluxo de Exploração
4. Início Rápido & Reprodução
5. Impacto
6. Remediação
7. Deteção
8. Créditos & Aviso Legal

Visão Geral da Vulnerabilidade

Nota de Versão: As versões até ~3.29.x usam a configuração simples allowHostAccess(HostAccess.ALL), que este PoC explora diretamente. As versões 3.30.0 e 3.30.1 introduziram uma lista negra parcial (bloqueando alguma reflexão), mas a correção completa (allowHostClassLoading(false) + endurecimento do motor) foi implementada apenas na 3.30.2. Este PoC visa a configuração sem sandbox.

A Causa Raiz

A vulnerabilidade existe na forma como o Conductor configura o contexto polyglot do GraalVM para a avaliação de scripts.

Em core/.../events/ScriptEvaluator.java (≤ 3.29.x), o contexto é construído assim:

Porque isto é um fim de jogo:

1. HostAccess.ALL concede ao motor JavaScript permissão para chamar qualquer método ou aceder a qualquer campo em objetos host Java.
2. A tarefa INLINE vincula os seus parâmetros de entrada à variável JavaScript $, que é um objeto Java real.
3. Um atacante pode encadear reflexão Java a partir de $: $.getClass().getClass() ➔ java.lang.Class ➔ Class.forName("java.lang.Runtime") ➔ Runtime.getRuntime().exec("sh -c <comando>").
4. A mesma falha existe no avaliador Python (Context.newBuilder("python").allowAllAccess(true)).

Fluxo de Exploração

O ataque requer zero autenticação e segue três passos simples:

1. Registar: Enviar um pedido POST para /api/metadata/workflow com uma definição de fluxo de trabalho maliciosa. A tarefa INLINE contém o payload JavaScript reflexivo no seu campo expression.
2. Executar: Enviar um pedido POST para /api/workflow/{workflow_name} para acionar o fluxo de trabalho.
3. Extrair: O motor GraalVM executa o payload. O Runtime.exec reflexivo executa o comando do SO, e o PoC captura inteligentemente o stdout e devolve-o como saída do result da tarefa, que é então obtida através da API.

Início Rápido & Reprodução

1. Iniciar o Laboratório Vulnerável

Inicie uma instância local da versão vulnerável do Conductor usando Docker.

2. Executar o PoC

Execute o script de exploração Python fornecido. Ele depende apenas da biblioteca padrão Python (sem dependências externas necessárias).

3. Saída Esperada

Nota: A saída uid=0(root) prova execução genuína no host, não uma resposta simulada.

Impacto

A exploração bem-sucedida concede ao atacante execução arbitrária de comandos do SO no host orquestrador do Conductor.

Porque o Conductor é frequentemente implantado com privilégios elevados para gerir infraestrutura, isto tipicamente resulta em:

• Comprometimento total do motor de fluxo de trabalho.
• Acesso a camadas de persistência subjacentes (Redis, PostgreSQL, Elasticsearch).
• Movimento lateral através de credenciais armazenadas ou sistemas a jusante acionados por fluxos de trabalho.

Remediação

1. Atualize Imediatamente: Atualize para Conductor ≥ 3.30.2. Nesta versão, os avaliadores JS e Python já não são executados com acesso ao host ou carregamento de classes ativado.
2. Defesa em Profundidade:
   • Coloque um gateway de autenticação (por exemplo, OAuth2, Chaves de API) à frente da API do Conductor.
   • Execute o processo do servidor Conductor como um utilizador não root e com privilégios mínimos.
   • Implemente segmentação de rede rigorosa para restringir quem pode registar ou executar fluxos de trabalho.

Deteção

Monitore o seu ambiente para os seguintes indicadores de compromisso (IoCs):

• Definições de Fluxo de Trabalho: Sinalize qualquer tarefa INLINE, LAMBDA, DO_WHILE ou SWITCH contendo strings expression que referenciem:
  • getClass, forName, Runtime, exec, ProcessBuilder
  • java.lang.reflect ou acesso genérico a pacotes java.
• Alertas ao Nível do Host: Monitore processos JVM do Conductor a gerar inesperadamente interpretadores de shell (sh, bash, cmd.exe) ou a fazer conexões de rede de saída.

Para uma análise aprofundada da cadeia de reflexão, configurações de avaliador específicas de versão e análise do patch, consulte ANALYSIS.md.

Créditos & Aviso Legal

• Manutenção do Repositório: Ch4120N
• Refinamento do PoC: (Ch4120N/CVE-2026-58138)
• Referência do Aviso: Orkes Conductor unauth RCE via GraalVM script evaluators

Aviso Legal: Este repositório contém um laboratório independente e reproduzível e uma Prova de Conceito (PoC) destinados estritamente a fins de segurança defensiva, educacional e testes de segurança autorizados. Não utilize este código contra sistemas que não possui ou para os quais não tem permissão explícita por escrito para testar. Os autores não assumem qualquer responsabilidade por uso indevido.