注目★★★★★GitHub Advisory
Joro v1.1.0 以前、認証なしプラグイン アップロードで RCE—デフォルト設定が危険
30秒で把握
- 1Joro v1.1.0 以前のデフォルトプロキシモードで、認証なしプラグイン アップロード経由の RCE が可能 (CVSS 9.6)
- 2クロスオリジン JavaScript が localhost:9090 の API を認証なしで呼び出し、プラグイン実行時に任意コード実行を実現
- 3localhost バインドの過度な CORS とプリフライト要件の欠落が原因・パッチ版への即座の更新推奨
要約
Joro のデフォルトプロキシモード (v1.1.0 以前) は localhost:9090 で認証なしの API を公開し、ワイルドカード CORS を適用していた。クロスオリジン JavaScript が `multipart/form-data` の CORS セーフリストコンテンツタイプを悪用すれば、プリフライトなしでプラグイン アップロードとシステム再起動を実行でき、プラグイン読み込み時に認証されていないリモート コード実行 (RCE) が発生する。原因は認証チェックの省略、過度な CORS ポリシー、プリフライト要件の見落としが結合したもの。CVSS スコアは 9.6 (Critical)。
あなたへの影響
Joro をローカルプロキシとして運用中のチームは、影響を受けるバージョン (≤v1.1.0) を直ちに確認し、パッチ版への更新を優先すべき。
推奨：デフォルト設定でのデプロイメントは本脆弱性の対象となるため、localhost バインドであっても信頼できないウェブサイト閲覧時のリスク軽減を検討する必要がある。