CVE-2026-8037
CVE-2026-8037
概要
Progress Kemp LoadMasterのCVE-2026-8037（CVSS 9.8）は、認証なしで APIに細工したリクエストを送信することでroot権限での任意コマンド実行が可能。ZDIが報告し修正パッチが提供済み。
脆弱性情報（NVD）
- 深刻度: 緊急（CVSS 9.6）
- CVSSベクター:
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - CWE: CWE-77
- EPSS: 99.31%（上位 0.1%）
影響を受けるバージョン:
- Progress Connection Manager For Objectscale: < 7.2.63.2
- Progress Ecs Connection Manager: < 7.2.63.2
- Progress Moveit Web Application Firewall: < 7.2.63.2
- Progress Loadmaster: < 7.2.54.18
- Progress Loadmaster: >= 7.2.55.0, < 7.2.63.2
原文: OS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an un-authenticated attacker to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in multiple command endpoints
技術詳細
脆弱性の概要
Progress ADC製品（LoadMasterアプライアンス）のAPIに存在するOSコマンドインジェクションの脆弱性です。認証されていない攻撃者が隣接ネットワークから細工したリクエストを送信することで、アプライアンス上で任意のコマンドを実行し、システムを完全に掌握できます。
根本原因
APIの複数のコマンドエンドポイントが、ユーザーから受け取った入力をOSコマンドの一部として実行する際に、特殊文字（;, |, &, $() など）の無害化（サニタイズ）を行っていないことが原因です。入力がそのままコマンド文字列に連結・実行されるため、コマンドの注入が可能になります。
攻撃シナリオ
- 攻撃者は、LoadMasterアプライアンスと同一のネットワークセグメント（例：管理VLAN）に接続するか、隣接ネットワークから到達可能な経路を確保します。
- 攻撃者は、認証不要のAPIエンドポイント（具体的なパスは情報不足）に対し、注入したいOSコマンドを含むHTTPリクエストを送信します。例として、パラメータに
; idや| /bin/shなどのペイロードを埋め込みます。 - APIバックエンドがこの入力を検証せずにシステムシェルで実行し、攻撃者のコマンドがLoadMaster OS上で実行されます。
- 結果、攻撃者は情報窃取、設定改ざん、サービス停止などを引き起こし、アプライアンスの完全な制御を奪取します（スコープ変更により、APIの権限を超えたOSレベルの侵害が発生）。
攻撃成立条件
- 攻撃者がLoadMasterアプライアンスと同じネットワークセグメント（隣接ネットワーク）にアクセスできること。
- 対象のAPIエンドポイントが外部に公開されており、認証なしでアクセス可能であること。
- APIへのリクエストに含まれるユーザー入力が適切にサニタイズされずにOSコマンドとして実行されること。
- 攻撃者が不正なコマンドを含むリクエストを、影響を受けるAPIエンドポイントに送信できること。
参考リンク
- community.progress.com
PatchVendor Advisory - labs.watchtowr.com
ExploitPatchThird Party Advisory - www.esentire.com
Third Party Advisory - www.cisa.gov
US Government Resource
言及日
VulnCheck KEV
- 製品: Progress LoadMaster
- CISA KEV 掲載: ✅ あり
- ランサムウェア悪用: Unknown
PoC / Exploit
- initial-access: GitHub(Caster-chen/CVE-2026-8037-POC) / VulnCheck XDB