CVE-2026-32604

Critical(9.8)

CVE-2026-32604 — Spinnaker Gitrepo Artifact RCE

公開日: 2026-04-22データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
clouddriver-artifacts-gitrepo	Spinnaker (io.spinnaker.clouddriver)	2026.0.1 / 2025.4.2 / 2025.3.2 未満

対応ガイド

high|対応必須セキュリティ修正影響: 極めて広範

推奨アクション

1Spinnaker clouddriver で gitrepo artifact type を使用しているか確認する
2対象バージョンであれば 2026.0.1、2025.4.2、2025.3.2 以降へアップデートする
3アップデート不可の場合は gitrepo artifact type の無効化を検討する

影響対象

Spinnaker CD利用者

補足

-OSコマンドインジェクションにより完全なシステム侵害が可能なため、早急な対応を推奨します

CVESpinnakerRCEgitrepo

概要

Spinnaker の clouddriver-artifacts-gitrepo コンポーネントにおいて、gitrepo artifact types を使用する際のブランチ名やパスの入力サニタイズが不十分であるため、リモートコード実行（RCE）が可能となる脆弱性が存在します。

攻撃者はネットワーク経由で認証なしにこの脆弱性を悪用し、clouddriver プロセスのコンテキストでOSコマンドを実行できるおそれがあります。

CVSSベクトル

項目	値
CVSSスコア	9.8（Critical）
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
必要な特権	不要
ユーザー関与	不要
CWE	CWE-78（OSコマンドインジェクション）

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
clouddriver-artifacts-gitrepo	Spinnaker (io.spinnaker.clouddriver)	2026.0.1 / 2025.4.2 / 2025.3.2 未満

修正バージョンと回避策

修正バージョン: 2026.0.1、2025.4.2、2025.3.2
回避策: gitrepo artifact type の使用を一時的に無効化する、またはネットワークアクセスを信頼できるソースに制限する

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-32613Spinnaker echo expression parsing RCECVSS 9.8

参考リンク

GitHub Advisory:https://github.com/spinnaker/spinnaker/security/advisories/GHSA-x3j7-7pgj-h87r

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-32604

Xでシェアはてブ

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。