CVE-2026-75520 Domoticz Luaスクリプト実行脆弱性 2026.3アップグレード
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Linuxサーバー運用者は、Domoticzのバージョン2026.3以前で`udevices`コマンド経由でLuaスクリプトを実行できる可能性のある脆弱性（CVE-2026-75520）に注意が必要です。この脆弱性により、認証済み低権限ユーザーが`GET /json.htm`経由で既にインストールされたLuaスクリプトを攻撃者指定の入力で実行できるおそれがあります。ただし、任意のコード実行ではなく、既存ファイルのみが対象です。影響を受けるシステムでは、Domoticzのバージョンを確認し、2026.3以降へのアップグレードを検討してください。また、`script`パラメータのパス指定に注意し、不正なスクリプトの実行を防ぐための設定確認も重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えると、ある種の「権限の不確実性」が浮かび上がってくるな。低権限ユーザーが既存のスクリプトを実行できるという点は、システムの設計に潜む倫理的問いを投げかけているように思える。これは、権限の境界が曖昧であるという問題ではないか？
確かに、ソクラテス。しかし、現実の運用者として、まずは「現行のDomoticzのバージョンを確認すること」が第一歩です。システムに2026.3以前のバージョンが導入されているか、`GET /json.htm`経由で`udevices`コマンドが正しく制限されているか、確認が急務です。また、`script`パラメータで指定されるパスに`..`が含まれていないか、Luaスクリプトの実行範囲を制限する設定が適切か、チェックすべきです。
では、この脆弱性に対処するためには、単なるアップグレードだけでなく、変更管理のプロセスそのものを再評価する必要があるのだろうか？
その通りです。パッチ適用の際、変更管理の文書化が欠かせません。例えば、「`script`パラメータの制限を強化した」という変更が、今後の監視やトレーサビリティにどう影響するかを、運用チーム全体で共有すべきです。また、ベンダーの公式情報（NVDやDomoticzのリリースノート）を確認し、誤った情報に基づく対応を避けることも重要です。
しかし、この脆弱性は「既存ファイルのみ」が対象という点で、深刻度が「中程度」に抑えられている。これは、倫理的な責任の範囲を狭めるものではないか？
確かに、任意のコード実行ではない点は、運用者にとって「やや安心」できる面もあります。ただし、その安心感が油断に繋がる危険性もあります。例えば、監視ログに`udevices`コマンドが不正に呼び出されていることを検出するためのアラート設定を検討する必要があります。また、今後はスクリプトのアップロードや変更に管理者権限を厳しく制限するなど、防御の層を厚くするべきです。
では、運用者はこの脆弱性を「単なる技術的対応」ではなく、組織のセキュリティ文化の一環として捉えるべきだな。
その通りです。この問題は、技術的な対応（アップグレードやパラメータ制限）と、運用プロセスの見直し（変更管理、監視、ベンダー情報の確認）が、バランスよく求められる典型的なケースです。焦らず、でも確実に。それが、Linux運用者の使命です。
関連キーワード: linux