CVE-2026-36044 @pensar/apex <= 0.0.58の脆弱性をわかりやすく解説｜影響範囲と対策まとめ

結論

CVE-2026-36044は、@pensar/apex <= 0.0.58に存在するOSコマンドインジェクションの脆弱性です。この脆弱性により、悪意のあるユーザーが任意のOSコマンドを実行できる可能性があります。影響を受けるユーザーは、直ちに対策を講じる必要があります。

この記事の要点

• CVE-2026-36044はOSコマンドインジェクションの脆弱性です。
• 影響を受けるのは@pensar/apex <= 0.0.58を使用しているユーザーです。
• 悪用により任意のOSコマンドが実行される可能性があります。
• 供給者はこの脆弱性に異議を唱えています。
• CVSSスコアは8.8です。

脆弱性の概要

この脆弱性は、@pensar/apex <= 0.0.58に存在し、smart_enumerateツールを介してOSコマンドインジェクションが可能です。src/core/agent/tools.ts内のcreateSmartEnumerateTool()関数は、extensions配列とurlパラメータからの未サニタイズの値を連結してNode.jsのchild_process.exec()に渡す文字列を構築します。exec()がシェルを生成するため、これらの値に含まれるシェルメタキャラクタはホストシェルによって解釈され、実行中のプロセスの権限で任意のOSコマンドが実行される結果となります。なお、これはpensarai/apex GitHubリポジトリのセキュリティポリシーに記載されている意図された動作に関するものであるため、供給者によって異議が唱えられています。

まず何をすべきか

• 使用している@pensar/apexのバージョンを確認する。
• 影響を受けるバージョンを使用している場合は、直ちにアップデートを行う。
• セキュリティポリシーやベンダーからの情報を確認する。

出典元

• NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-36044
• CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-36044
• cve@mitre.org：https://gist.github.com/NucleiAv/47e87da08b90ef464fd9b35affe578fb
• cve@mitre.org：https://github.com/pensarai/apex/security
• cve@mitre.org：https://www.npmjs.com/package/@pensar/apex

対象システムと影響範囲

@pensar/apex <= 0.0.58を使用しているユーザーが影響を受けます。特に、ネットワーク経由でアクセス可能な環境での使用が危険です。

被害内容

悪用された場合、攻撃者は任意のOSコマンドを実行でき、システムの完全な制御を奪われる可能性があります。

既知の悪用状況

現時点では実際の攻撃への悪用は確認されていません。

対応方法

ベンダーからの公式なパッチやアップデートを適用することが推奨されます。具体的な修正バージョンは提供されていませんが、最新のバージョンへのアップデートが必要です。

FAQ

Q1. どの製品が影響を受けますか？

@pensar/apex <= 0.0.58を使用している製品が影響を受けます。

Q2. まず何をすればよいですか？

使用しているバージョンを確認し、影響を受ける場合はアップデートを行ってください。

Q3. 実際の悪用は確認されていますか？

現時点では実際の攻撃への悪用は確認されていません。

参考情報

• NVD詳細ページ