| タイトル | HederaのGuardianにおける誤った領域へのリソースの漏えいに関する脆弱性 |
|---|---|
| 概要 | Hashgraph Guardianのバージョン3.5.0以前には、Custom Logicポリシーブロックワーカーにサンドボックス化されていないJavaScript実行の脆弱性が存在していました。これにより、認証されたStandard Registryユーザーは、ユーザー提供のJavaScript式を隔離なしでNode.jsのFunction()コンストラクタに直接渡すことで、任意のコードを実行できます。攻撃者はネイティブのNode.jsモジュールをインポートし、コンテナのファイルシステムから任意のファイルを読み取れます。また、RSA秘密鍵やJWT署名鍵、APIトークンなどの機密クレデンシャルを含むプロセス環境変数にアクセスし、管理者を含む任意のユーザーの有効な認証トークンを偽造することが可能です。 |
| 想定される影響 | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月9日0:00 |
| 登録日 | 2026年4月23日10:16 |
| 最終更新日 | 2026年4月23日10:16 |
| CVSS3.0 : 重要 | |
| スコア | 8.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Hedera |
| Guardian 3.5.0 およびそれ以前 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月23日] 掲載 |
2026年4月23日10:16 |
| 概要 | Hashgraph Guardian through version 3.5.0 contains an unsandboxed JavaScript execution vulnerability in the Custom Logic policy block worker that allows authenticated Standard Registry users to execute arbitrary code by passing user-supplied JavaScript expressions directly to the Node.js Function() constructor without isolation. Attackers can import native Node.js modules to read arbitrary files from the container filesystem, access process environment variables containing sensitive credentials such as RSA private keys, JWT signing keys, and API tokens, and forge valid authentication tokens for any user including administrators. |
|---|---|
| 公表日 | 2026年4月10日3:17 |
| 登録日 | 2026年4月15日11:34 |
| 最終更新日 | 2026年4月22日9:37 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:hedera:guardian:*:*:*:*:*:*:*:* | 3.5.0 | ||||