JVNDB-2026-022939

CoderにおけるOS コマンドインジェクションの脆弱性

CoderはTerraformを介して組織がリモート開発環境をプロビジョニングできるようにします。バージョン2.29.7および2.30.2より前のバージョンでは、`dotfiles`レジストリモジュールが無検証のユーザー入力をシェルコマンドに渡しており、プロビジョニングされたワークスペース内で任意のコードを実行できました。細工された`dotfiles_uri`の値（例えば、`$(...)`のようなシェルコマンド置換を含むもの）を提供した任意のユーザーは、自身のワークスペースでコマンドを実行することが可能でした。Create Workspaceページの`mode=auto`ディープリンクは、これをワンクリック攻撃に拡大させました。攻撃者は`param.dotfiles_uri`を事前に入力したURLを作成し、ユーザーの明示的な確認なしに、攻撃者が制御する値でワークスペースを静かにプロビジョニングできる状態でした。バージョン2.29.7および2.30.2では、dotfilesモジュールに特別な文字を含むURIやユーザー名を拒否する入力検証が追加され、不安全な`eval`や`sh -c`の使用は削除されました。これにより、コマンドインジェクションは発生源で除去されました。

Coder

• Coder 2.29.7 未満
• Coder 2.30.0 以上 2.30.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Command injection via dotfiles URI parameter combined with workspace auto-creation  Advisory  coder/coder  GitHub

1. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-44454

1. National Vulnerability Database (NVD) : CVE-2026-44454
2. 関連文書 : feat(site)!: add consent prompt for auto-creation with prefilled parameters by kacpersaw  Pull Request #22011  coder/coder  GitHub
3. 関連文書 : fix: add validation to inputs in dot-files module (#703)  coder/registry@8e68c96  GitHub
4. 関連文書 : Release v2.29.7  coder/coder  GitHub
5. 関連文書 : Release v2.30.2  coder/coder  GitHub
6. 関連文書 : feat(site)!: add consent prompt for auto-creation with prefilled para…  coder/coder@60e3ab7  GitHub
7. 関連文書 : fix: add validation to inputs in dot-files module by DevelopmentCats  Pull Request #703  coder/registry  GitHub

• [2026年07月10日]
    掲載