結論
この脆弱性は、Algernonウェブサーバーにおいて、認証なしでリモートコード実行が可能になる問題です。影響を受けるのは、バージョン1.17.7以前のAlgernonを使用しているシステムです。利用者は、速やかにバージョンを更新する必要があります。
この記事の要点
- Algernonのバージョン1.17.7以前にリモートコード実行の脆弱性が存在
- インデックスファイルのないディレクトリに対するリクエストで悪用可能
- 認証なしでhandler.luaを実行できる
- 脆弱性は1.17.7で修正済み
脆弱性の概要
この脆弱性は、Algernonという小型の自己完結型の純Goウェブサーバーに存在します。バージョン1.17.7以前では、インデックスファイルのないディレクトリに対してURLパスが要求されると、DirPageは親ディレクトリを遡ってhandler.luaというファイルを探します。この検索は、サーバールートを超えてファイルシステムのルートに達するまで続きます。最初に見つかったhandler.luaはLuaインタープリタに読み込まれ、Algernon APIが完全に公開されます。このため、サーバールートの親ディレクトリにhandler.luaを書き込むことができるプロセスは、次のHTTPリクエストで認証なしにリモートコード実行を得ることができます。この脆弱性は1.17.7で修正されています。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-45721 |
| 公開日 | 2026-05-26T17:16:47.750000Z |
| 対象システム | Algernon 1.17.7以前 |
| 脆弱性の種類 | リモートコード実行 |
| CVSSスコア | 9.0 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- 使用しているAlgernonのバージョンを確認する
- バージョン1.17.7以降にアップデートする
- セキュリティ設定を見直す
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-45721
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-45721
- security-advisories@github.com：https://github.com/xyproto/algernon/security/advisories/GHSA-xwcr-wm99-g9jc
対象システムと影響範囲
Algernonのバージョン1.17.7以前を使用しているシステムが影響を受けます。特に、インデックスファイルのないディレクトリに対してリクエストを行う環境が危険です。
被害内容
悪用された場合、攻撃者はリモートで任意のコードを実行でき、システムの完全な制御を奪われる可能性があります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
Algernonをバージョン1.17.7以降にアップデートすることが推奨されます。
FAQ
Q1. どの製品が影響を受けますか？
Algernonのバージョン1.17.7以前が影響を受けます。
Q2. まず何をすればよいですか？
Algernonのバージョンを確認し、必要に応じてアップデートしてください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント