CVE-2026-8037
CVE-2026-8037
概要
Progress Kemp LoadMasterのCVE-2026-8037（CVSS 9.8）は、認証なしで APIに細工したリクエストを送信することでroot権限での任意コマンド実行が可能。ZDIが報告し修正パッチが提供済み。
脆弱性情報（NVD）
- 深刻度: 緊急（CVSS 9.6）
- CVSSベクター:
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - CWE: CWE-77
- EPSS: 8.19%（上位 5.8%）
原文: OS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an un-authenticated attacker to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in multiple command endpoints
技術詳細
脆弱性の概要
Progress ADC製品（LoadMasterアプライアンス）のAPIに存在するOSコマンドインジェクションの脆弱性です。認証されていない攻撃者が隣接ネットワークから細工したリクエストを送信することで、アプライアンス上で任意のコマンドを実行し、システムを完全に掌握できます。
根本原因
APIの複数のコマンドエンドポイントが、ユーザーから受け取った入力をOSコマンドの一部として実行する際に、特殊文字（;, |, &, $() など）の無害化（サニタイズ）を行っていないことが原因です。入力がそのままコマンド文字列に連結・実行されるため、コマンドの注入が可能になります。
攻撃シナリオ
- 攻撃者は、LoadMasterアプライアンスと同一のネットワークセグメント（例：管理VLAN）に接続するか、隣接ネットワークから到達可能な経路を確保します。
- 攻撃者は、認証不要のAPIエンドポイント（具体的なパスは情報不足）に対し、注入したいOSコマンドを含むHTTPリクエストを送信します。例として、パラメータに
; idや| /bin/shなどのペイロードを埋め込みます。 - APIバックエンドがこの入力を検証せずにシステムシェルで実行し、攻撃者のコマンドがLoadMaster OS上で実行されます。
- 結果、攻撃者は情報窃取、設定改ざん、サービス停止などを引き起こし、アプライアンスの完全な制御を奪取します（スコープ変更により、APIの権限を超えたOSレベルの侵害が発生）。
攻撃成立条件
- 攻撃者がLoadMasterアプライアンスと同じネットワークセグメント（隣接ネットワーク）に存在していること。
- 脆弱性のあるAPIエンドポイントがネットワーク経由で到達可能であり、認証が不要であること。
- 当該APIが入力値に対して適切なサニタイズ処理を施していないこと。
- 攻撃者が複数のコマンドエンドポイントに対して、OSコマンドを注入する細工されたリクエストを送信できること。
- 対象のLoadMasterアプライアンスが、この脆弱性の影響を受けるバージョンの製品を実行していること。
参考リンク
言及日
VulnCheck KEV
- 製品: Progress loadmaster
- CISA KEV 掲載: なし
- ランサムウェア悪用: Unknown