HestiaCP Unauth RCE and IP Spoofing via CVE-2026-43633 & 43634

CVE-2026-43633 および CVE-2026-43634 バグの概要 概要 HestiaCP には2つの重大な脆弱性が存在し、これらを組み合わせることで、認証されない攻撃者が root 権限を取得することができます。 1. CVE-2026-43633 (RCE)：セッションの直列化解除を介した認証なしのリモートコード実行。 2. CVE-2026-43634 (IP 偽装)： ヘッダーを使用した IP アドレスの偽装により、ファイアウォールの制限を回避する。 影響を受ける範囲 影響を受けるバージョン：HestiaCP 1.9.0 から 1.9.4。 前提条件：Web ターミナル機能が有効であること。 深刻度：Critical (10.0) / High (7.5)。 修正方法 一時的な緩和策： Web ターミナルを無効にする：コマンド を実行する。 アクセスの制限：ファイアウォールレベルでポート 8083 へのアクセスを信頼できる IP のみに制限する。 永久的な修正： パッチはメインブランチにマージされていますが、2026年5月19日時点で正式なバージョンはリリースされていません。ユーザーはメインブランチから手動でビルドする必要があります。 技術詳細とコード 1. セッション直列化解除の脆弱性 (CVE-2026-43633) PHP と Node.js はセッションファイルを処理するために互換性のないパーサーを使用しています。攻撃者は を通じて悪意のあるデータを注入し、Node.js ターミナルがユーザー名を抽出する際にセッションの認証状態を確認せずに直接実行します。 PHP 側のコード (web/inc/main.php)： Node.js 側のコード (ユーザー名抽出ロジック)： 2. IP 偽装の脆弱性 (CVE-2026-43634) HestiaCP は ヘッダーを信頼しており、Nginx がこのヘッダーを削除していないため、攻撃者は IP アドレスを直接偽装してファイアウォールを回避できます。 PHP 側のコード (web/inc/main.php)：

目標達成 すべての支援者に感謝 — 100%達成しました！

HestiaCP Unauth RCE and IP Spoofing via CVE-2026-43633 & 43634

目標達成すべての支援者に感謝 — 100%達成しました！