JVNDB-2026-012855

Linux FoundationのSpinnakerにおけるコードインジェクションの脆弱性

Spinnakerはオープンソースのマルチクラウド継続的デリバリープラットフォームです。Echoは他のいくつかのサービスと同様に、SPeL（Spring Expression Language）を使用して情報を処理します。特に期待されるアーティファクトに関連しています。2026.1.0、2026.0.1、2025.4.2、および2025.3.2より前のバージョンでは、orcaとは異なり、そのコンテキストを信頼されたクラスのセットに制限せず、完全なJVMアクセスを許可していました。これにより、ユーザーはシステムへの深いアクセスを可能にする任意のJavaクラスを使用することができました。その結果、コマンドの実行やファイルへのアクセスなどが可能になっていました。バージョン2026.1.0、2026.0.1、2025.4.2、および2025.3.2には修正が含まれています。回避策としては、Echoを完全に無効化することが推奨されます。

Linux Foundation

• Spinnaker 2025.3.2 未満
• Spinnaker 2025.4.0 以上 2025.4.2 未満
• Spinnaker 2026.0.0 以上 2026.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : RCE via expression parsing due to unrestricted context handling  Advisory  spinnaker/spinnaker  GitHub

1. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-32613

1. National Vulnerability Database (NVD) : CVE-2026-32613
2. 関連文書 : Release Spinnaker 2025.4.2  spinnaker/spinnaker  GitHub
3. 関連文書 : Release Spinnaker 2026.0.1  spinnaker/spinnaker  GitHub
4. 関連文書 : Critical Spinnaker Vulns Allow RCE And Production Compromise - ZeroPath Blog | ZeroPath
5. 関連文書 : Release Spinnaker 2025.3.2  spinnaker/spinnaker  GitHub

• [2026年04月27日]
    掲載