JVNDB-2026-015652

OpenC3のOpenC3 COSMOSにおける不要な特権による実行に関する脆弱性

OpenC3 COSMOSは、1つ以上の組み込みシステムにコマンドを送信し、データを受信するために必要な機能を提供します。バージョン7.0.0-rc3以前では、Script Runnerウィジェットによりユーザーはopenc3-COSMOS-script-runner-apiコンテナから直接PythonおよびRubyスクリプトを実行できました。すべてのDockerコンテナがネットワークを共有しているため、ユーザーは特別に細工されたスクリプトを実行することでAPIの権限チェックをバイパスし、Redisデータベース内のデータの読み取りと変更を含む管理アクションを実行できました。これにより、COSMOSの設定の読み取りや変更、設定ファイル、ログ、プラグインファイルを保持するバケットサービスへの読み書きが可能になりました。これらの操作は通常、管理コンソールまたは管理者権限からのみ利用可能です。スクリプトの作成および実行権限を持つユーザーは、Dockerネットワーク内の任意のサービスに接続できます。この問題はバージョン7.0.0-rc3で修正されました。

OpenC3

• OpenC3 COSMOS 7.0.0 未満
• OpenC3 COSMOS 7.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Administrative Actions via the Script Runner Tool  Advisory  OpenC3/cosmos  GitHub

1. 不要な特権による実行(CWE-250) [その他]

1. CVE-2026-42088

1. National Vulnerability Database (NVD) : CVE-2026-42088
2. 関連文書 : Release v7.0.0-rc3  OpenC3/cosmos  GitHub
3. 関連文書 : Release v7.0.0  OpenC3/cosmos  GitHub

• [2026年05月15日]
    掲載