CVE-2026-3515 Prefect 3.6.18の脆弱性をわかりやすく解説｜影響範囲と対策まとめ

結論

CVE-2026-3515は、Prefectのprefect-github統合における脆弱性であり、攻撃者が任意のgitコマンドラインオプションを注入できる可能性があります。この脆弱性は、特定のバージョンのPrefectを使用しているシステムに影響を与えるため、早急な対応が必要です。

この記事の要点

• CVE-2026-3515はPrefectのprefect-github統合における脆弱性です。
• referenceフィールドを通じて任意のgitコマンドラインオプションが注入可能です。
• サーバーサイドリクエストフォージェリ（SSRF）やリモートコード実行（RCE）のリスクがあります。
• GitLabおよびBitBucketの統合には影響しません。
• CVSSスコアは8.5です。

脆弱性の概要

CVE-2026-3515は、Prefectバージョン3.6.18のprefect-github統合におけるGitHubRepositoryブロックの脆弱性です。この脆弱性により、攻撃者はreferenceフィールドを通じて任意のgitコマンドラインオプションを注入することが可能になります。referenceフィールドは適切なサニタイズなしにgit cloneコマンド文字列に直接連結され、shlex.split()によって解析されます。これにより、-cオプションなどの注入が可能となり、サーバーサイドリクエストフォージェリ（SSRF）、認証情報の盗難、またはリモートコード実行（RCE）のリスクが生じます。この脆弱性は、src/integrations/prefect-github/prefect_github/repository.py内のaget_directory()およびget_directory()メソッドに影響を与えます。GitLabおよびBitBucketの統合には影響しません。

項目	内容
CVE番号	CVE-2026-3515
公開日	2026-05-24T05:16:39.167000Z
対象システム	Prefect 3.6.18
脆弱性の種類	リモートコード実行（RCE）
CVSSスコア	8.5
攻撃条件	認証不要 / ネットワーク経由

まず何をすべきか

• 使用しているPrefectのバージョンを確認し、3.6.18を使用している場合は直ちに対策を講じる。
• 最新のパッチやアップデートが提供されているか確認する。
• 影響を受けるシステムの監視を強化する。

出典元

• NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-3515
• CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-3515
• security@huntr.dev：https://huntr.com/bounties/f3b048b8-7f4e-45ef-a5a7-cb841c39acde

対象システムと影響範囲

この脆弱性は、Prefectバージョン3.6.18を使用しているシステムに影響を与えます。特に、prefect-github統合を利用している場合にリスクが高まります。

被害内容

悪用された場合、攻撃者はサーバーサイドリクエストフォージェリ（SSRF）を実行したり、認証情報を盗んだり、リモートコードを実行することが可能になります。

既知の悪用状況

現時点では実際の攻撃への悪用は確認されていません。

対応方法

• ベンダーからの最新のパッチやアップデートを適用することが推奨されます。

FAQ

Q1. どの製品が影響を受けますか？

Prefectバージョン3.6.18を使用しているシステムが影響を受けます。

Q2. まず何をすればよいですか？

使用しているPrefectのバージョンを確認し、必要に応じてアップデートを行ってください。

Q3. 実際の悪用は確認されていますか？

現時点では実際の攻撃への悪用は確認されていません。

参考情報

• NVD詳細ページ