im3x Scriptablesに認証不要のOSコマンド実行の脆弱性
im3x Scriptablesの/syncにファイルを送るだけで、認証なしにサーバー上でOSコマンドを実行される脆弱性が2026年11月に公表されました。自社で動かしているかを確認し、外部に公開しているなら遮断したうえで、リポジトリで修正の有無を確認してください。
急ぎ度: 早めに
CVSS v3は9.8で、認証も利用者の操作も要らずネットワーク越しに悪用でき、修正版も確認できていないためです。
関係があるか
im3x Scriptablesを自前のサーバーやコンテナで動かし、/syncにネットワークから届く状態にしている組織が対象です。個人や部署が検証用に立てたまま残っているインスタンスも含まれます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| im3x Scriptables | v2-devブランチまで | 修正版の情報は確認できていません。リポジトリの最新コミットとリリース、GitHubのアドバイザリで確認してください |
確かめ方
- 1社内のサーバー、コンテナ、検証環境の一覧から、Scriptablesを動かしているものを洗い出す。担当者への聞き取りも併用する
- 2見つかったインスタンスで、取得元のブランチとコミットを確認する
- 3リバースプロキシやファイアウォールの設定で、/syncに社外や広い社内セグメントから届くかを確認する
何が起きたか
im3x Scriptablesのファイル同期用エンドポイント/syncに、OSコマンドインジェクションの脆弱性が見つかりました。細工したファイル名のファイルをアップロードされると、サーバー上で任意のOSコマンドを実行されます。
分類はCWE-78（OSコマンドインジェクション）とCWE-22（パストラバーサル）です。ファイル名のような外部からの入力が、コマンドやパスの組み立てにそのまま使われているタイプとみられます。
CVSS v3のベクターはAV:N/AC:L/PR:N/UI:Nで、機密性・完全性・可用性への影響はすべて高です。公表は2026年11月3日で、影響を受ける版は「v2-devブランチまで」と記録されています。
攻撃の流れ
-
1
到達できる
攻撃者がScriptablesの/syncにネットワークから接続できる状態です。
-
2
細工した送信
ファイル名に細工を施したファイルが/syncへアップロードされます。
-
3
コマンド実行
ファイル名が処理の中でOSコマンドとして解釈され、サーバー上で実行されます。
-
4
サーバー掌握
アプリケーションの権限で、データの読み取り・改ざん・停止ができる状態になります。
どう悪用されるか
悪用に認証は要りません。/syncに通信が届けばよく、利用者の操作も不要で、攻撃の難易度は低いと評価されています。外部公開しているインスタンスは、インターネットから直接狙われる前提で考えるべきです。社内限定でも、同じネットワークに入った第三者や侵入済みの端末から到達できれば条件は満たされます。
成功すると、Scriptablesを動かしているプロセスの権限で任意のコマンドを実行されます。保存データの閲覧や書き換え、サービス停止のほか、そのサーバーを足がかりにした社内への横展開も起こり得ます。
今すぐやること
-
1
利用状況を洗い出す
Scriptablesを動かしているサーバー、コンテナ、検証環境を探します。使っているかどうか分からない環境は、担当者に確認します。
-
2
外部からの到達を止める
インターネットや広い社内セグメントに/syncが届くなら、リバースプロキシやファイアウォールで遮断します。修正の確認より先に済ませてください。
-
3
取得元の版を確認する
導入しているブランチとコミットを調べます。Gitで取得している場合は、次のコマンドで確認できます。
git -C /path/to/Scriptables log -1 --format='%H %cd' -
4
修正の有無を確認して更新する
リポジトリの最新コミットとリリース、GitHubのアドバイザリを確認します。修正版が出ていれば更新し、無ければ使用を止めるかワークアラウンドで運用します。
-
5
侵害の跡を調べる
/syncへのアップロードの記録に、見慣れないファイル名や想定外の送信元がないか確認します。サーバー上の不審なプロセスや新しいファイルも合わせて調べます。
修正版がないあいだのつなぎ
修正版を当てられない間は、/syncへのアクセスをリバースプロキシやファイアウォールで信頼できる送信元だけに絞るか、遮断します。同期機能を使わないなら、インスタンスごと停止するのが確実です。止められない場合は、権限を絞ったコンテナなどに隔離し、侵入されたときの影響範囲を狭めておきます。遮断すると同期機能は使えなくなります。
背景
Scriptablesは、同期用の/syncを備えたオープンソースのプロジェクトです。今回の対象は配布版ではなくv2-devブランチで、開発中のコードを取得して動かしている環境が主な該当先になります。こうした小規模なOSSは資産管理台帳に載りにくく、担当者が検証で立てたまま忘れられていることも多いため、洗い出しが最初の作業になります。
アップロードされたファイル名を信用し、そのままコマンドやパスの組み立てに使ってしまう実装は、ファイル受け付け機能のある製品で古くから見つかってきた型です。今回もCWE-78とCWE-22が付いており、ファイル名の扱いが原因とみられます。
よくある質問
Q.社内ネットワークだけで使っていても対応は必要ですか。
Q.v2-dev以外のブランチを使っていれば影響はありませんか。
まだ分かっていないこと
- 影響範囲が「v2-devブランチまで」という記述にとどまり、リリースやタグの版番号との対応は記録から分かりません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An issue in im3x Scriptables through v2-dev branch allows attackers to inject arbitrary OS commands via uploading a file with a crafted filename to the /sync endpoint.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web github.com
- web github.com
- web github.com
- web github.com
- web nvd.nist.gov
- web github.com