V-Ray Swarmに認証前のコード実行、修正版2.0.21あり
Chaos V-Ray Swarmの管理画面に、ログイン不要で遠隔からSYSTEM権限のコードを実行される脆弱性があり、描画環境を運用する組織が対象です。修正版へ更新し、更新までは管理画面に届く通信を絞ってください。
急ぎ度: 早めに
CVSS v4が9.3で認証も不要ですが、修正版2.0.21はすでに公開されており、実際の悪用は今回の勧告では示されていないため、更新を早めに進める段階と判断します。
関係があるか
社内やスタジオでV-Ray Swarmを動かし、Webの管理画面にネットワークから届く状態の組織が対象です。管理画面が広い社内ネットワークやインターネット側に見えているほど、危険は高まります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Chaos V-Ray Swarm | 2.0.19以前 | 2.0.21（2026年11月2日公開） |
確かめ方
- 1V-Ray Swarmを入れているサーバーやレンダーノードを洗い出し、導入済みの版を確認します。
- 2管理画面から、どのネットワークやPCからアクセスできるかを確認します。ファイアウォールやルーターの設定も見ます。
- 32.0.20は影響範囲の一覧に載っていません。修正済みと明記されているのは2.0.21だけなので、2.0.20を使っている場合も2.0.21への更新を前提にし、Chaosのリリースノートで扱いを確認してください。
何が起きたか
Chaos V-Ray Swarmの管理画面にあるパッケージのアップロード機能に、認証なしで悪用できる脆弱性が見つかりました。悪用されると、V-Ray Swarmが動いているサーバーをNT AUTHORITY\SYSTEMの権限で乗っ取られます。
アップロードされたパッケージのアーカイブは、中身の検証が不十分です。細工したDLLを入れておくと、サービスがアーカイブを展開してバージョン情報を調べるときに、バックグラウンドの処理がそのDLLを読み込み、任意のコードが実行されます。弱点の種類はCWE-427（制御されていない検索パス要素）で、勧告ではCAPEC-159（ライブラリへのアクセスのリダイレクト）にも分類されています。
MandiantのNoah Moss氏が発見し、2026年10月にChaos Softwareへ報告しました。修正版2.0.21は11月2日に公開され、Mandiantの勧告は11月9日に出ました。CVSS v4は9.3です。
攻撃の流れ
-
1
管理画面へ到達
攻撃者がネットワーク経由でV-Ray Swarmの管理画面に接続します。
-
2
細工パッケージ送信
不正なDLLを入れたアーカイブを、認証なしでアップロードします。
-
3
DLLが読み込まれる
サービスがアーカイブを展開し、バージョン情報を調べる背景処理が不正なDLLを読み込みます。
-
4
SYSTEMで実行
任意のコードがNT AUTHORITY\SYSTEMの権限で動き、ホストを完全に掌握されます。
どう悪用されるか
悪用に必要なのは、V-Ray Swarmの管理画面へのネットワーク上の到達性だけです。認証も有効なセッションも不要で、利用者の操作も要りません。勧告は攻撃のしやすさを高いと評価しています。
成功すると、攻撃者はWindowsの最高権限であるNT AUTHORITY\SYSTEMで任意のコードを実行できます。勧告は影響を非常に高いとし、対象ホストの完全な侵害に至ると述べています。
今すぐやること
-
1
導入状況と版を洗い出す
V-Ray Swarmが動いているホストを一覧にし、版が2.0.19以前のものを特定します。テスト用や使っていない環境も対象です。
-
2
修正版2.0.21に更新する
該当するホストを、Chaos Softwareが公開した2.0.21に更新します。更新後は版が2.0.21になったことを確認してください。2.0.20など一覧にない版の扱いは、Chaosのリリースノートで確かめます。
-
3
管理画面への到達範囲を絞る
更新が済むまでの間も、更新後も、管理画面にアクセスできる送信元を管理用の端末やネットワークに限ります。インターネット側に公開されていないかも確認します。
-
4
更新前の履歴を点検する
更新前に管理画面が広いネットワークから見えていた場合は、身に覚えのないパッケージのアップロード、見慣れないDLL、不審なプロセスや通信がないかをログと合わせて調べます。
すぐ更新できないとき
修正版をすぐに当てられないときは、V-Ray Swarmの管理画面へ届く通信をファイアウォールで管理者の端末だけに絞り、インターネットからの到達を遮断します。これはベンダーが示した回避策ではなく、悪用にネットワーク到達性が要ることを踏まえたつなぎの措置です。根本的な解決は2.0.21への更新です。
背景
V-Ray Swarmは、Chaosの描画ソフトV-Rayで、複数のマシンに処理を分散させるレンダリング環境を管理するための製品です。管理画面がWebで提供され、描画用のサーバーが社内に並ぶ構成になりやすいため、1台の管理画面が侵害されると、高性能なホストと、その先につながる制作用ネットワークが同時に危うくなります。
今回の原因は、プログラムが読み込むDLLの場所や中身を十分に制御していないことにあります。Windowsアプリケーションでは、意図しないDLLが先に読み込まれて任意のコードが実行される問題が、広く知られた脆弱性の型です。今回はそれが認証なしのアップロード機能とつながり、しかもSYSTEM権限で動くサービスの中で起きる点が特徴です。
よくある質問
Q.管理画面が社内ネットワークからしか見えなければ、急がなくてよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Chaos SoftwareV-Ray Swarm |
2.0.19 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Uncontrolled search path element in package upload feature in Chaos Software V-Ray versions through 2.0.19 allows remote unauthenticated attackers to execute arbitrary code via redirecting access to libraries
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web mandiant-cve@google.com
- web mandiant-cve@google.com
- web nvd.nist.gov
- web github.com