JPCERT/CC・IPAが運営するJVNは2026年10月14日、KomodoサーバーのエージェントPeripheryにある脆弱性を公開しました。権限を制限した非管理者がいる環境では、利用者がKomodoの権限制御を回避し、対象サーバーで任意のコマンドを実行できる恐れがあります。2.3.0より前の全バージョンが対象で、開発元は修正済みの2.3.0への更新を求めています。
制限付きの利用者でもサーバー上で操作できる恐れ
脆弱性の識別番号はCVE-2026-110005です。カーネギーメロン大学SEIのCERT/CCが掲載した情報は、2026年10月13日付で更新されています。深刻度を示すCVSS 3.1基本値は9.9で、Criticalに分類されています。
問題はOSコマンド注入です。これは、入力された値が命令として扱われ、意図しない操作を実行される問題を指します。CERT/CCによると、要求に含まれる値を未処理のまま、OSの命令を実行するシェルに渡すことが原因です。
開発元によると、悪用された場合は、対象サーバーでPeripheryの実行ユーザーとして任意のコマンドを実行できます。利用者に与えたKomodo上の権限だけで、操作範囲を制限できなくなる点が重要です。
悪用には、原則として該当操作の権限を持つアカウントが必要です。ただし、Peripheryをパスキーなしで直接公開している場合は、認証なしでも到達可能とされています。アカウントの権限だけでなく、Peripheryの公開設定も確認が必要です。
ログ検索などが対象、権限監査だけでは解消しない
開発元は、ログ検索ではRead権限とLogs権限を持つユーザーが悪用できると説明しています。また、RunStackServiceはStackのExecute権限で悪用可能です。Swarmのシークレット・設定を作成する処理にも問題があります。
修正版の2.3.0では、入力値をシェルに安全に渡すための処理や、入力が不正な引数として扱われることを防ぐ対策が施されています。開発元は回避策はないとしており、更新が必要です。
Logs・Execute権限を持つ利用者の監査は、リスクを抑える手段にはなります。ただし、監査だけで脆弱性が解消するわけではありません。更新までの確認作業と、修正版の適用は分けて管理してください。
日本での提供は発表には書かれていません。今回の対象条件は、利用地域ではなく、バージョンと利用者の権限構成で示されています。
影響する会社・しない会社
- 影響する: 2.3.0より前を使い、複数ユーザーの中に権限を制限した非管理者がいる会社。ログ検索のRead・Logs権限や、StackのExecute権限を誰に付与しているかが確認点です。
- 影響する: 対象バージョンのPeripheryを、パスキーなしで直接公開している会社。認証なしでも到達可能という別の条件を見落とさないでください。
- 影響しない: 開発元によると、管理者ユーザーのみの環境。ただし、Peripheryの直接公開については別途確認が必要です。
- 影響しない: 修正済みの2.3.0を適用した環境では、今回の脆弱性は修正されています。これは、他の脆弱性もないことを意味するものではありません。
情シスが今日やること
- 今日中の初動として、Komodoの運用担当者に導入バージョンとPeripheryの稼働先を確認してください。2.3.0より前の環境を一覧にし、更新担当者を決めます。版を確認する具体的な管理画面の項目名は、発表には書かれていません。
- ユーザー権限の管理情報で、ReadとLogsを持つ利用者、StackのExecuteを持つ利用者を確認します。権限を制限した非管理者が含まれるかを運用担当者と照合し、開発部門にも対象を知らせてください。
- Peripheryの公開設定とパスキー設定を、サーバー・ネットワークの担当者に確認してもらいます。パスキーなしの直接公開が見つかった場合は、その条件をセキュリティ担当者へ共有してください。権限監査だけでは確認が完了しません。
- 対象環境は2.3.0への更新日程を決め、利用部門に作業予定を連絡します。更新後は実際のバージョンを確認し、対応一覧に記録してください。発表には適用期限の指定はありませんが、回避策がないため、権限確認だけで対応を終えないことが重要です。
