OWN NEWS GATHER
← 戻る
The Hacker News

Kalturaの動画ライブラリに未修正の深刻な脆弱性、認証不要でファイル読み取りやコード実行の恐れ

要点

  • 動画配信基盤KalturaのHTML5プレーヤーライブラリ「mwEmbed」に、未修正の深刻な脆弱性2件が確認された。

  • 攻撃者は認証を経ることなく、サーバー上の機密ファイルを読み取れるほか、遠隔から任意のコードを実行できる。

  • 個別のサーバー環境だけでなく、Kalturaの共有マルチテナントCDNを利用する全顧客に影響が及ぶ。

  • 修正パッチは未提供のため、CERT/CCはエンドポイントの遮断やパラメータ検証などの緩和策を呼びかけている。

  • 米サイバーセキュリティ研究機関のCERT Coordination Center（CERT/CC）は2026年8月26日、動画配信プラットフォーム大手KalturaのHTML5動画プレーヤーライブラリに、未修正の脆弱性2件が存在することを公表した。いずれもネットワーク経由で認証なしに悪用可能で、サーバー内の機密情報窃取や遠隔からの不正コード実行につながる恐れがあるという。CERT/CCはKaltura側と連絡が取れずパッチが未提供であると明かし、運用管理者に対して外部アクセスの制限など早急な回避策の適用を呼びかけている。

安全でないデシリアライズ処理と共有環境への波及

公表された脆弱性は「CVE-2026-19913」および「CVE-2026-19912」として追跡されている。いずれも「mwEmbed」プレーヤーライブラリ（Kalturaでは「html5lib」としても配布）の「mwEmbedLoader.php」エンドポイントに存在し、共通して安全でないデシリアライゼーション（受け取ったデータを元のプログラム用データへ復元する処理の不備）に起因している。

攻撃の実行にログイン認証やKalturaのセッショントークンは不要で、当該エンドポイントへのネットワーク接続環境のみが前提条件となる。CERT/CCの説明によると、脆弱なローダーは顧客の個別環境だけでなく、Kaltura自身が運用する共有マルチテナントCDN（コンテンツ配信網）基盤にも露出している。そのため個別導入先のサーバーにとどまらず、共有ホストを利用するすべてのテナントに影響が及ぶ状態になっているという。

機密ファイル読み取りと任意コード実行の仕組み

セキュリティ企業AndDoneの研究者Gerjan Wemekamp氏が公開した技術報告によると、ファイル読み取りの欠陥（CVE-2026-19913）は「ServiceUrl」パラメータの検証不足が原因だ。内部クライアントが指定先URLの内容を検証しないままPHPの「unserialize()」関数に渡すため、「file://」スキームを指定されるとローカルファイルが読み出され、デシリアライズ失敗時のエラーメッセージ内にファイル内容がそのまま出力されてしまう。同氏はこの手法により、平文のデータベース接続文字列や管理者パスワードが含まれる設定ファイル「/opt/kaltura/app/configurations/local.ini」を取得できることを実証した。

一方のコード実行（CVE-2026-19912）は、同じデシリアライズ処理に「uiconf_id」パラメータの不備を組み合わせる。ディスク書き込み時のパス無害化の甘さを突き、「../」などのパストラバーサル（ディレクトリを遡って不正に移動する指定）によってWeb公開領域に細工したファイルを配置させ、そのファイルを直接呼び出すことでWebサーバー権限でのコード実行（RCE）に至る。このファイル書き出しはKalturaの既定であるファイルベースのキャッシュに依存しており、Memcachedのみの構成では書き込みが抑止される可能性があるものの、安全が保証されるわけではないと指摘されている。

深刻度と影響を受けるバージョン

Wemekamp氏は独自スコアとしてコード実行（CVE-2026-19912）をCVSS 10.0、ファイル読み取り（CVE-2026-19913）を9.1と極めて高く算定している。一方で2026年8月25日時点で米国立標準技術研究所（NVD）への登録はなく、CERT/CCも公式スコアを提示していない。また、現時点で実際の悪用被害は報告されておらず、米CISAの既知の悪用脆弱性カタログ（KEV）にも掲載されていない。米NISTが2026年4月にCVE情報の拡充対象を重要ソフトウェア等に限定した運用方針も背景にある。

影響を受けるのはhtml5lib v2.45およびv2.103以前、その他問題のエンドポイントを公開しているv2.x系とされる。研究者は完全な侵入実証を2019年のDocker環境で行ったとしつつ、最新リリースでもデシリアライズ処理などの攻撃要素が動作することを確認したと述べている。

パッチ未提供下で推奨される回避手順

現在修正プログラムが存在しないため、CERT/CCおよび研究者は管理者に対し、以下の回避策を講じるよう求めている。

  • WAFやリバースプロキシ、CDNで不要なmwEmbedエンドポイントへの外部アクセスを遮断・削除する
  • ServiceUrlパラメータで自社の正規APIホストのみを許可するホワイトリストを適用し、非HTTP(S)スキームを拒否する
  • uiconf_idパラメータに含まれるトラバーサル文字列や区切り記号を拒否する
  • キャッシュディレクトリ内でのPHPスクリプト実行を禁止する
  • ペイロード取得を防ぐため、アプリケーションサーバーからの不要な外部ネットワーク接続を制限する
  • エンドポイントが露出していた環境では、設定ファイル「local.ini」内のDB認証情報や各種パスワード、APIキーをすべて変更する
元URL