注目★★★★★GitHub Advisory
DIRAC グリッド計算システム、パイロットコード検証なしダウンロード脆弱性
30秒で把握
- 1DIRAC パイロットコード、SSL証明書検証なしで中間者攻撃に脆弱 (CVE-2026-61668)
- 2チェックサム検証も参照ファイルを同経由取得のため回避可能・任意コード実行リスク
- 3バージョン 8.0.79 / 9.0.22 / 9.1.10 以上で修正・ネットワーク経路確認後の更新推奨
要約
DIRAC グリッド計算フレームワークで、初期ラッパースクリプトがパイロットコード (pilot.tar) をSSL証明書検証なしでダウンロード・実行している脆弱性が判明した。チェックサム検証は存在するが、参照ファイルも同じ未検証チャネル経由で取得されるため無効化されている。中間者攻撃で任意コードがパイロット権限 (プロキシ認証情報アクセス可) で実行される可能性がある。修正版は DIRAC 8.0.79、9.0.22、9.1.10 以上で対応済み。
あなたへの影響
DIRAC を使用するグリッドサイト管理者は、パイロット実行環境のネットワーク経路を確認し、DNS/ルーティング改ざんの可能性が無いか検証した上で、対象バージョンへの更新を検討すべき。
推奨：パイロットコンテキストで実行される処理が認証情報にアクセスする場合は特に重要。