JVNDB-2026-012607

NSAのEmissaryにおける複数の脆弱性

EmissaryはP2Pベースのデータ駆動型ワークフローエンジンです。バージョン8.42.0以下において、Executrix.getCommand()は一時ファイルパスをエスケープや入力検証なしで/bin/sh -cシェルコマンド文字列に展開するため、OSコマンドインジェクションの脆弱性があります。IN_FILE_ENDINGおよびOUT_FILE_ENDINGの設定キーはこれらのパスに直接流れ込み、.cfgファイルを書き換えまたは作成できるプレイスの作成者が任意のシェルメタ文字を注入してJVMプロセスのセキュリティコンテキストでOSコマンドを実行できます。このフレームワークは同じシェル文字列に埋め込む前にallowlistを使用してplaceNameをすでにサニタイズしていますが、ファイル拡張子の値には同様のサニタイズを適用していません。脆弱性を悪用するのに必要な権限はプレイス設定作成者権限のみであり、APIやネットワークアクセスは不要です。これはフレームワークレベルの欠陥であり、Executrixはファイル拡張子入力のメタ文字に対するエスケープや文書化された前提条件を提供していないため、下流の実装者に対して安全な緩和策は存在しません。この問題はバージョン8.43.0で修正されました。

NSA

• Emissary 8.43.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : OS Command Injection via Unvalidated `IN_FILE_ENDING` / `OUT_FILE_ENDING` in `Executrix`  Advisory  NationalSecurityAgency/emissary  GitHub

1. 不適切なエンコード、または出力のエスケープ(CWE-116) [その他]
2. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-35582

1. National Vulnerability Database (NVD) : CVE-2026-35582
2. 関連文書 : Merge commit from fork  NationalSecurityAgency/emissary@1faf33f  GitHub

• [2026年04月27日]
    掲載