オンラインサービス監視の人気プラットフォームであるOneUptimeの重大なコマンドインジェクション脆弱性により、認証されたユーザーがProbeサーバーを乗っ取ることができます。
CVE-2026-27728として追跡されるこの脆弱性は、10.0.7より前のバージョンを使用する組織に対してシステム全体の侵害のリスクをもたらします。
この問題はOneUptimeのProbe Serverコンポーネント、特にNetworkPathMonitor.performTraceroute()関数に隠れています。
これはモニタ設定からユーザーが提供した「destination」入力を使用してtraceroute操作を処理します。このコードはNode.jsのchild_process.exec()を呼び出し、シェルでコマンドを実行します。
Probeがこれを処理するとき、追加のコマンドはサーバー権限で実行され、データ盗難、横展開、または完全乗っ取りを可能にします。
攻撃者はプロジェクトへのアクセスが必要です。彼らは悪意のあるモニタ設定を設定し、tracerouteをトリガーして、OSコマンドを実行します。
結果には、機密ファイルのダンプ、マルウェアのインストール、または他のシステムへのピボット移動が含まれます。Probeサーバーは多くの場合、昇格された権限で実行され、企業環境でのダメージを増幅します。
OneUptimeをアップタイム監視に使用している組織は、内部脅威または侵害された低権限アカウントからの高いリスクに直面しています。インフラストラクチャを保護するために迅速に対応してください。
翻訳元: https://cyberpress.org/oneuptime-command-injection-flaw-enables-full-server-takeover/