NEWSkillSec — AI Skill のセキュリティを「マルウェア検知」から「能力監査」へSkillSec詳しく見る →
← 情報センターへ戻る
SECURITY INTEL · DAILY
RSS

2026-07-07 デイリーセキュリティ情報

CSSA 1 · CVE 2 · 汚染 1

10.0 超危険 · CVE-2026-57572 Crawl4AI の Docker API における引数注入により任意コマンドが実行される

CSSA 独自早期警戒 1

CSSA 独自早期警戒 9.9 超危険

Dolibarr の利用者複製インターフェースの引数改竄により権限昇格とシステムの全面掌握に至る

この欠陥は、利用者の複製端点が対象オブジェクトに対する動的な認可検証を行っていないことに起因し、攻撃者は基本的な複製権限さえ持てば悪意あるネットワーク要求を組み立てられます。要求本文の識別子引数を直接改竄することで、呼び出し側は画面上の制限とセッション水準の再送防止トークンの検証を回避し、後段のデータ複製処理を強制的に発火させられます。この操作は保護された高権限アカウントの設定をそのまま新しい実体へ写し取り、当初は低い権限であった身元にすべてのシステム管理方針を継承させます。影響を受けた環境は横展開の危険が拡大する脅威に晒され、攻撃連鎖は追加の操作なしに全体設定の改竄、機微データの一括持ち出し、中核業務プロセスの停止という結果に到達します。

コンポーネント
Dolibarr はオープンソースの ERP と CRM を統合した基盤です。アーキテクチャはモジュール設計を採り、PHP と関係データベースにより後段のサービスを構築します。財務管理、在庫管理、人事、プロジェクト管理などの業務モジュールを備え、中小企業に高度に調整可能なワークフロー自動化の方策を提…
種別
Authorization Bypass Through User-Controlled Key (CWE-639)
リポジトリ
github.com/Dolibarr/dolibarr · Star 7385
対処方法
  • 厳格なオブジェクト単位のアクセス制御方針を実施し、業務ロジックの層で対象実体の権限に対する二次認可の機構を導入することを推奨します。高危険なアカウント識別子には固定の遮断規則を設け、機微な操作が特権の文脈でのみ実行されるようにしてください。あわせてセキュリティトークンと作用域の引数をハッシュで束縛し、異常なデータ変更の軌跡を追跡するために完全な監査ログ記録のモジュールを配備してください。

CVE 情報 2

CVE-2026-57572 CVSS 10.0 超危険 2026-07-07

Crawl4AI の Docker API における引数注入により任意コマンドが実行される

Crawl4AI の 0.9.0 より前のバージョンでは、Docker API サーバーに引数注入（CWE-88）というセキュリティ上の欠陥が存在します。この API は既定で認証が有効になっておらず、要求で与えられる browser_config.extra_args 引数を受け付け、その引数は Chromium の起動引数へ直接渡されます。攻撃者は Chromium の起動スイッチを注入でき、--no-zygote 引数と組み合わせて子プロセスの起動命令を差し替えることで、Chromium にコンテナ実行時利用者の権限で攻撃者が制御する命令を fork または exec させられます。認証が不要なため、単一の要求で任意コマンドの実行に至ります。本脆弱性は 0.9.0 へ更新していないすべての利用者、とりわけ Docker API サービスを配備した環境に影響します。攻撃者は利用者の操作を必要とせず、特製の要求を送るだけで遠隔から任意コードを実行し、コンテナ環境を完全に掌握できます。

コンポーネント
Crawl4AI は大規模言語モデル（LLM）向けのオープンソースのウェブクローラーおよび収集ツールで、LLM にとって扱いやすいデータ収集サービスの提供を目的としています。
リスク
  • システムの完全な制御：攻撃者はコンテナ内で任意のコードを実行でき、コンテナ実行時利用者の権限に応じてプログラムの導入、データの閲覧・改変・削除、完全な権限を持つ新規アカウントの作成が可能になります
  • 認証を要しない遠隔攻撃：Docker API は既定で認証が有効でないため、攻撃者は資格情報なしに攻撃を開始できます
  • コンテナ脱出の危険：コンテナの設定が適切でない場合、攻撃者は本脆弱性を用いてホストへ脱出し、基盤全体の安全を脅かす可能性があります
出典
NVD · CVE-2026-57572
対処方法
  • Crawl4AI を直ちに 0.9.0 以降へ更新してください
  • Docker API に認証機構を有効化し、アクセス権限を限定してください
  • 受け取る browser_config.extra_args 引数に厳格な許可リスト検証または絞り込みを適用してください
CVE-2026-42341 CVSS 9.8 超危険 2026-07-07

FOSSBilling の未認証支払い回避により口座残高が改竄される

FOSSBilling の 0.6.0 から 0.7.2 のバージョンでは、IPN のコールバック端点に重要機能の認証機構が欠けており（CWE-306）、未認証の支払い回避というセキュリティ上の欠陥が存在します。Custom payment adapter を有効にしている場合、攻撃者は入念に組み立てた単一の HTTP 要求を送るだけで、未払いの請求書を支払い済みとして記録し、紐づく顧客口座へ残高を計上できます。実際の支払いは一切必要ありません。本脆弱性は 0.8.0 へ更新していないすべての利用者に影響します。攻撃者は認証なしに遠隔から発火でき、業務ロジックの回避と財務データの完全性の毀損に直結します。

コンポーネント
FOSSBilling は請求書、支払い、顧客口座の管理に広く用いられる無償のオープンソース課金・顧客管理システムです。
リスク
  • 金銭的損失と詐欺：攻撃者は未払いの請求書を支払い済みにでき、サービス提供者の収益損失を招きます
  • 口座残高の改竄：攻撃者は顧客口座の残高を任意に増やせ、課金システムの公平性と正確性を損ないます
  • 認証を要しない遠隔攻撃：攻撃者は資格情報なしに、特定の HTTP 要求を組み立てるだけで悪用でき、利用者の操作も必要としません
出典
NVD · CVE-2026-42341
対処方法
  • 本脆弱性を修正するため、FOSSBilling を直ちに 0.8.0 以降へ更新してください
  • 直ちに更新できない場合は、積極的に利用していないのであれば Custom payment gateway を無効にしてください
  • ウェブサーバーの層で /ipn.php へのアクセスを制限してください（IP 許可リストなど）。ただし正当な支払いコールバックの処理に影響し得る点に留意してください

パッケージ汚染 1

パッケージ汚染 npm 2026-07-07

zluri-ad-connector@9.9.9 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
994041160386b84249e0fb118491e345
← 情報センターへ戻るRSSCleanSource SCA でこれらのリスクを自動監視 →