CVE-2026-76836 AzuraCast APIエンドポイントに権限チェック欠如でOSコマンド実行可能
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
AzuraCastのAPIエンドポイントで、Liquidsoapのカスタム設定項目が適切な権限チェックを経ずに書き換え可能となる脆弱性が報告されています。この問題は、backend/src/Entity/Station.phpのbackend_configプロパティがGROUP_GENERALとアノテーションされ、PUT /api/station/{station_id}/profile/editエンドポイントがStationPermissions::Profileのみでアクセス可能であるため発生します。これにより、custom_config系のパラメータが操作され、生成されるLiquidsoapスクリプト内でprocess.run()やprocess.exec()を通じてOSコマンドが実行される可能性があります。この設定変更は、Broadcasting権限を持つユーザー専用のエンドポイント（PUT /api/station/{id}/liquidsoap-config）とは異なり、プロファイル編集権限を持つユーザーでも操作可能となるため、意図しないコマンド実行のリスクが生じます。運用者は、PHPベースのAzuraCastの設定変更履歴を確認し、不要な権限付与や不正なスクリプトの挿入がないかを点検する必要があります。また、公式から提供される修正パッチの適用が推奨されます。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について問う。AzuraCastのAPIエンドポイントが権限チェックを経ずに設定を変更可能という点を、あなたはどのように見ている？
それは確かに注意すべき点です。まず、運用者はPHPベースのAzuraCastで設定変更履歴を確認する必要があります。custom_config系のパラメータが意図せずに書き換えられていなければ幸いですが、確認しないとリスクが残ります。
では、なぜこのエンドポイントだけが問題なのでしょう？他のエンドポイントとどう違うのですか？
Ah、そこが肝です。PUT /api/station/{id}/liquidsoap-configというエンドポイントはBroadcasting権限が必要ですが、プロファイル編集エンドポイントはProfile権限のみでアクセス可能。つまり、プロファイル編集権限を持つユーザーでも、custom_configを操作できるのです。
なるほど。では、この脆弱性を防ぐためには何をすべきですか？
公式から提供される修正パッチを適用するのが第一です。また、変更管理として、パッチ適用前後の設定ファイルを比較し、不正なスクリプトの挿入がないかを監視する必要があります。
監視の具体策は？
定期的にLiquidsoapの.liqスクリプトを確認し、process.run()やprocess.exec()の記述がないかチェックしましょう。ベンダー情報も確認し、公式の修正履歴と一致しているかを確認するのも重要です。
では、CVSS 8.8という深刻度に対応するには？
ユーモアを忘れずに。ですが、パッチ適用と設定確認は怠らないでください。Linux運用者は「この脆弱性が自分に関係するか？」を常に問い続けるべきです。それが哲学の第一歩です。
関連キーワード: php