skip to content
今日の脆弱性

2026 年 07 月 20 日の重要脆弱性: Meshtastic と KubeVirt に Critical 脆弱性など 2 件

/ 4 min read

View more blogs with the tag セキュリティ , View more blogs with the tag 脆弱性 , View more blogs with the tag cve , View more blogs with the tag critical , View more blogs with the tag 権限昇格
Table of Contents

概要

本日、日本のエンジニア・開発者の皆様にお知らせすべき重要脆弱性として、CVSSスコア9.0以上となるCriticalな脆弱性が2件公開されました。GitHubリポジトリのCIワークフローにおける任意のコード実行や、Kubernetes環境での権限昇格など、サプライチェーンやクラスター全体に影響を及ぼしかねない深刻な問題が含まれています。

CVE-2026-44359: Meshtastic GitHubリポジトリのCIワークフローにおける任意のコード実行

  • CVSS: 10.0 (Critical)
  • 影響: meshtastic / firmware — versions: < 2.7.21.1370b23 (affected)

概要

オープンソースのメッシュネットワークソリューションMeshtasticのGitHubリポジトリにあるmain_matrix.ymlワークフローに深刻な脆弱性が見つかりました。このワークフローはpull_request_targetでトリガーされ、外部からのプルリクエストがあった場合、攻撃者のフォークされたコードをリポジトリのシークレットと昇格されたGITHUB_TOKEN権限で実行してしまいます。これにより、サプライチェーンの侵害、セルフホスト型ランナーの乗っ取り、またはリポジトリ全体の乗っ取りにつながる可能性があります。

推奨対応

本脆弱性に対するパッチはバージョン 2.7.21.1370b23 に含まれています。影響を受けるユーザーは、速やかにMeshtasticのファームウェアをこのバージョン以降にアップデートすることを強く推奨します。詳細については、公式のセキュリティアドバイザリを参照してください。

参考

CVE-2026-7374: KubeVirtのvirt-handlerにおけるシンボリックリンク追跡による権限昇格

  • CVSS: 9.9 (Critical)
  • 影響: Red Hat / Red Hat Container Native Virtualization 4.12, 4.13, 4.14, 4.15, 4.16

概要

KubeVirtのvirt-handlerコンポーネントに、認証済みのOpenShiftユーザーがノードおよびクラスターを完全に制御できる深刻な権限昇格の脆弱性が発見されました。この脆弱性は、仮想マシンコンソールソケットへの接続時における不適切なシンボリックリンク検証を悪用します。攻撃者はコンソールソケットをホストのコンテナランタイム（CRI-O）ソケットへのシンボリックリンクに置き換えることで、virt-handlerの特権接続を乗っ取り、ホスト上の任意のUnixソケットにアクセスできる可能性があります。

推奨対応

Red Hatは、この問題に対処するための修正を含むセキュリティアドバイザリを複数公開しています。影響を受けるRed Hat Container Native Virtualizationのユーザーは、速やかに該当するRHSA（Red Hat Security Advisory）を確認し、最新の修正を適用してください。詳細な情報とパッチの適用方法については、提供されている参考リンクを参照することを強く推奨します。

参考

出典