つみかさね

CVE-2026-123870

Critical(9.5)

otterdogのeval()実行可能な脆弱性 CVE-2026-123870：影響範囲と対応方法

公開日: 2026-11-10データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
otterdogEclipse CSIGITHUB_WEBHOOK_SECRET未設定の環境

対応ガイド

high|対応必須セキュリティ修正影響: 限定的

推奨アクション

  1. 1GITHUB_WEBHOOK_SECRETが設定されているか確認する
  2. 2未設定の場合は十分に長いランダムな値を設定しWebhook署名検証を有効化する
  3. 3修正版への追従を検討する

影響対象

otterdog利用者GitHub組織管理者

対応不要な人

  • ✓otterdogを使用していない
  • ✓GITHUB_WEBHOOK_SECRETに値を設定済みで署名検証が有効

補足

  • -パッチ未提供の場合は回避策の適用を優先してください
CVEotterdogevalRCEGitHub Webhook

30秒で判断

  • 対応すべき人: otterdogのwebappをデプロイしていて、GITHUB_WEBHOOK_SECRETを設定していない（または空のまま運用している）方
  • 対応不要な人: otterdogを使用していない方、GITHUB_WEBHOOK_SECRETを適切に設定している方
  • 確認コマンド: otterdogのwebapp設定でGITHUB_WEBHOOK_SECRET環境変数が値を持っているか確認

概要

otterdogはGitHub組織の設定をコードで管理するツールです。今回の脆弱性は、otterdogのwebappが受信したGitHub Webhookのリクエストボディから作成したフォーマット文字列を、Pythonのeval()で評価していることが原因です。

GITHUB_WEBHOOK_SECRETの設定値が未設定または空（コード上のデフォルトはNone）の場合、HMAC署名検証がまるごとスキップされてしまいます。この状態では、認証を持たないネットワーク経由の攻撃者がeval()に到達し、攻撃者が制御する入力を用いてwebappのホスト上で任意のPythonコードを実行できるおそれがあります。

CVSSベクトル

項目値
CVSSスコア9.5 (Critical)
CVSSバージョン4.0
攻撃元区分ネットワーク経由
認証要否不要（Webhookシークレット未設定時）
影響コード実行による完全性・機密性への高い影響

影響を受けるソフトウェア

製品バージョン
otterdogGITHUB_WEBHOOK_SECRET未設定の全バージョン

修正バージョンと回避策

まずはGITHUB_WEBHOOK_SECRET環境変数に十分に長いランダムな値を設定し、Webhookの署名検証を有効化することが最も重要な対策です。加えて、ベンダーのコミット・アドバイザリに記載された修正版への追従も推奨します。

関連リンク

データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-123870
GHSA:https://github.com/eclipse-csi/otterdog/security/advisories/GHSA-32xf-7j44-xq72
GitHub:https://github.com/eclipse-csi/otterdog/commit/bbc9e3ced3665f09fc4632f11b5867524eda7f72
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。