| Title | reconurgeのFlowsintにおけるOS コマンドインジェクションの脆弱性 |
|---|---|
| Summary | Flowsintは、サイバーセキュリティ調査、透明性、および検証を目的としたオープンソースのOSINTグラフ探索ツールです。Flowsintでは調査を作成でき、それによりスケッチと分析の管理が可能です。スケッチはノードと関係で構成される制御可能なグラフを持ちます。スケッチには、これらのノードおよび関係内にOSINTターゲット（ユーザー名、ウェブサイトなど）の情報が含まれています。ノードでは「トランスフォーマー」と呼ばれる自動プロセスを実行できます。リモートの攻撃者はスケッチを作成し、組織ノードで「org_to_asn」トランスフォームを起動することで、シェルのメタ文字とDockerコンテナ脱出を介してホストマシン上でrootとして任意のOSコマンドを実行することができます。コミットb52cbbb904c8013b74308d58af88bc7dbb1b055cは、この問題の原因となるコードを削除しています。 |
| Possible impacts | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | April 20, 2026, midnight |
| Registration Date | April 27, 2026, 11:27 a.m. |
| Last Update | April 27, 2026, 11:27 a.m. |
| CVSS3.0 : 緊急 | |
| Score | 9.8 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| reconurge |
| Flowsint 2025-11-17 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年04月27日] 掲載 |
April 27, 2026, 11:27 a.m. |
| Summary | Flowsint is an open-source OSINT graph exploration tool designed for cybersecurity investigation, transparency, and verification. Flowsint allows a user to create investigations, which are used to manage sketches and analyses. Sketches have controllable graphs, which are comprised of nodes and relationships. The sketches contain information on an OSINT target (usernames, websites, etc) within these nodes and relationships. The nodes can have automated processes execute on them called 'transformers'. A remote attacker can create a sketch, then trigger the 'org_to_asn' transform on an organization node to execute arbitrary OS commands as root on the host machine via shell metacharacters and a docker container escape. Commit b52cbbb904c8013b74308d58af88bc7dbb1b055c appears to remove the code that causes this issue. |
|---|---|
| Publication Date | April 21, 2026, 5:16 a.m. |
| Registration Date | April 25, 2026, 4:02 a.m. |
| Last Update | April 24, 2026, 3:41 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:reconurge:flowsint:*:*:*:*:*:*:*:* | 2025-11-17 | ||||