KaliFastにOSコマンドインジェクションの脆弱性、修正版あり
KaliFastのGit連携設定から、サーバー上で任意のコマンドを実行される脆弱性が見つかりました。無料で登録できる環境では、外部の第三者が悪用できる状態になりえます。自社で動かしているKaliFastの版を確認し、修正版へ更新してください。
急ぎ度: 早めに
CVSS v3は9.8、v4は8.7で、アカウントは無料登録で作れるため悪用の敷居が低く、修正版も出ているので、早めの更新が妥当です。
関係があるか
KaliFastを自社や委託先のサーバーで動かし、インターネットや社外のネットワークから使えるようにしている組織が対象です。無料登録を受け付けている環境では、とくに影響が大きくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| KaliFast（パッケージ名 Kalifast） | 2026.02.1より前の版 | 2026.02.1（脆弱性の説明文には2026061802という表記もあります） |
確かめ方
- 1KaliFastを動かしているサーバーを洗い出し、管理画面や導入時の記録から版を確認します。
- 2版が2026.02.1より前なら対象です。
- 3新規ユーザーの登録が誰でもできる設定かを確認します。
- 4KaliFastがインターネットから到達できるか、リバースプロキシやファイアウォールの設定を見て確かめます。
何が起きたか
KaliFastのサーバーに、外部から任意のコマンドを実行させられる脆弱性が見つかりました。
問題があるのは、Git remoteの設定を受け付けるエンドポイントです。ここで受け取る ei_git_repo_url パラメーターの値が適切に扱われず、OSコマンドインジェクション（CWE-78）が起きます。
実行されるコマンドの権限はwww-dataです。CVSS v3は9.8、v4は8.7で、重大な脆弱性として扱われています。
攻撃の流れ
-
1
アカウント登録
無料登録でKaliFastのアカウントを作り、ログインします。
-
2
設定に不正値を送信
Git remoteの設定エンドポイントに、細工した値を `ei_git_repo_url` として送ります。
-
3
コマンド実行
値がそのままOSのコマンドとして解釈され、サーバー上で実行されます。
-
4
サーバーへの影響
www-data権限で、ファイルの閲覧や改ざん、サービスの停止などが起こりえます。
どう悪用されるか
悪用にはログインが必要です。ただし無料で登録できるため、実質的には、KaliFastにネットワーク越しに到達できる人なら誰でも条件を満たせます。利用者の操作は要らず、攻撃は遠隔から成立します。
CVSS v3の評価は権限不要（PR:N）、v4の評価は低い権限が必要（PR:L）で、登録の扱いが数値に反映されていません。v4の8.7も、登録が自由な環境では実態に近いと考えてよいでしょう。
悪用されると、KaliFastのサーバー上でwww-data権限のコマンドが動きます。そのユーザーが読み書きできる範囲のファイルや設定が、閲覧や改ざんの対象になります。サーバーが社内ネットワークにつながっていれば、そこを足がかりに別の機器へ広がるおそれもあります。
今すぐやること
-
1
対象のKaliFastを洗い出す
委託先やテスト用に立てたものも含め、動いているKaliFastをすべて挙げ、版を確認します。
-
2
修正版へ更新する
インターネットから到達できるもの、無料登録を開けているものから順に、修正版へ更新します。更新後に版が上がったことを確認します。
-
3
更新前の痕跡を調べる
Git remoteの設定エンドポイントへのリクエストや、見覚えのないアカウントの登録、www-dataが起動した不審なプロセスがないかを、Webサーバーのログやサーバーの記録で見ます。
-
4
不審な点があれば認証情報を替える
更新前に不審な操作が見つかった場合は、サーバー上に置かれた認証情報やトークンを再発行し、環境の再構築も検討します。
すぐ更新できないとき
すぐに更新できない場合は、KaliFastへのアクセスを社内ネットワークや特定のIPアドレスに限定します。新規登録を止められる設定があれば止め、リバースプロキシやWAFでGit remoteの設定エンドポイントへの経路を遮断します。あくまで暫定の策なので、更新までの期間は短くしてください。
背景
今回の脆弱性があるのはGit remoteの設定機能で、利用者が入力したリポジトリのURLを、サーバー側でgitのコマンドに渡す場面だと考えられます。外部から受け取った文字列をOSのコマンドに組み込む機能は、入力の扱いを誤るとコマンドインジェクションになりやすい場所です。CWE-78はその典型にあたります。
実行権限がwww-dataであることも、影響を考えるうえで押さえておきたい点です。これはWebサーバーが使う一般的なユーザーで、管理者権限そのものではありません。ただし、Webアプリが読み書きするファイルや設定には届くため、その中身次第で被害は大きく変わります。
よくある質問
Q.www-data権限なら、被害は限定的ではありませんか。
Q.新規登録を閉じていれば、更新しなくてよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されているかどうかは分かっていません。攻撃コードの公開状況も不明です。
- 修正版の表記が、パッケージ情報の2026.02.1と説明文の2026061802で食い違っています。どちらが正式かは、ベンダーのアドバイザリ（Orange Cyberdefenseの告知など）で確認してください。
- ベンダー運営のホスティング版があるか、その場合に利用者側の対応が要るかは分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| EISGE | Kalifast |
2026.02.1 未満 |
2026.02.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The ei_git_repo_url parameter in the Git remote configuration endpoint of KaliFast is vulnerable to OS Command Injection. This OS Command Injection vulnerability allows an authenticated attacker (free registration available) to execute arbitrary commands on the KaliFast server with www-data privileges. Fixed in version 2026061802.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web advisories.orangecyberdefense.com
- web nvd.nist.gov
- web github.com