Trusted Design

CVE-2026-8037 の詳細

CVEの情報

説明:
OS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an un-authenticated attacker to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in multiple command endpoints

CVE更新日: 2026-06-04 14:16:45.177000

CVSSバージョン: 3.1

CVSSスコア: 9.6

KEVの情報

KEV更新日: 2026-08-07

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.773620000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2026-8037について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-8037は、Progress Software社のApplication Delivery Controller (ADC) 製品群（Progress LoadMaster、ECS Connection Manager、Object Scale Connection Manager、MOVEit WAF）のAPIに存在する、認証不要のOSコマンドインジェクション脆弱性です。この脆弱性を悪用することで、リモートの非認証攻撃者が任意のOSコマンドを実行できる可能性があります。

  • CWEタイプ: CWE-77 (Improper Neutralization of Special Elements used in a Command) に分類されます。これは、製品が外部から影響を受ける入力を使用してコマンドの一部または全体を構築する際に、意図したコマンドを変更する可能性のある特殊な要素を適切に無効化しない、または誤って無効化するために発生します。
  • 根本原因: LoadMaster APIの複数のコマンドエンドポイントにおいて、ユーザーが提供する入力がOSコマンド実行ルーチンに渡される前に適切にサニタイズされていないことに起因します。特に、escape_quotes()関数におけるユーザー入力の不適切な処理が、ヒープメモリ操作とコマンドインジェクションを可能にします。

1.1 影響

本脆弱性が悪用されると、アプライアンス上で任意のOSコマンドが実行されます。これにより、以下の深刻な影響が生じる可能性があります。

  • アプライアンスの完全な侵害（リモートコード実行）
  • 設定の変更
  • 機密情報へのアクセス
  • アプリケーション配信サービスの停止
  • 永続性の確立、またはネットワーク内のさらなる攻撃の足がかりとして侵害されたデバイスの使用

この脆弱性は認証不要であり、ユーザー操作も不要なため、ネットワークアクセスがあれば任意の攻撃者が悪用可能です。

1.2 深刻度

  • CVSS v3.1スコア: 9.8 (Critical - 緊急) と評価されています。
    • CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
      • 攻撃元区分 (AV): ネットワーク (N)
      • 攻撃条件の複雑さ (AC): 低 (L)
      • 必要な特権レベル (PR): 不要 (N)
      • ユーザーインタラクション (UI): 不要 (N)
      • スコープ (S): 変更なし (U)
      • 機密性への影響 (C): 高 (H)
      • 完全性への影響 (I): 高 (H)
      • 可用性への影響 (A): 高 (H)
  • EPSS (Exploit Prediction Scoring System) 確率: 99.31%から99.571%と非常に高く、30日以内にこの脆弱性が悪用される可能性が高いことを示しています。
  • CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実世界で活発に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のProgress社の製品およびバージョンが影響を受けます。

  • Progress LoadMaster:
    • GA v7.2.63.1 およびそれ以前のバージョン
    • LTSF v7.2.54.17 およびそれ以前のバージョン
    • V7.2.60.0 から V7.2.63.2 より前のバージョン
    • V7.2.45.12 から V7.2.54.18 (LTSF) より前のバージョン
  • Progress ECS Connection Manager: V7.2.60.0 から V7.2.63.2 より前のバージョン
  • Progress Object Scale Connection Manager: V7.2.60.0 から V7.2.63.2 より前のバージョン
  • Progress MOVEit WAF: V7.2.60.0 から V7.2.63.2 より前のバージョン

2.2 影響を受ける設定

  • APIが有効になっていること。
  • 管理/APIインターフェースがインターネットまたはその他の信頼されていないネットワークから到達可能であること。

3. 影響を受けた時の兆候

  • CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、2026年8月7日に実世界での悪用が確認されています。
  • 2026年6月29日以降、本脆弱性を標的とした攻撃試行が確認されています。
  • 成功した場合、アプライアンス上で任意のOSコマンドが実行されるため、異常なプロセス、予期しないネットワーク活動、設定の変更、または機密データへの不正アクセスなどが兆候として現れる可能性があります。
  • CISAのBinding Operational Directive (BOD) 26-04は、パッチ適用前に脅威アクターによってシステムが侵害されていないかを確認することを義務付けています。

4. 推奨対策

4.1 本対策

  • 直ちにファームウェアを修正済みバージョンにアップグレードしてください。
  • Progress LoadMasterの場合:
    • GA v7.2.63.2 以降のバージョンにアップグレードしてください。
    • LTSF v7.2.54.18 以降のバージョンにアップグレードしてください。
  • Progress社はCVE-2026-8037に対処するセキュリティアップデートをリリースしています。

4.2 暫定回避策（緩和策）

  • LoadMaster APIへのネットワークアクセスを専用の管理VLANまたは許可された管理IPアドレス範囲に制限し、認証されていないインターネットからの公開を防いでください。
  • リモートAPIアクセスが運用上不要なアプライアンスでは、LoadMaster管理APIポートを無効にするか、ファイアウォールでブロックしてください。
  • 境界ファイアウォール、ACL、またはセキュリティグループでインターネットからの露出をブロックしてください。
  • 必要な管理ソースのみがアプライアンスの管理およびAPIインターフェースにアクセスできることを確認してください。

他に解説すべき観点

  • 公開日 (NVD): 2026年6月4日
  • CISA KEVカタログへの追加日: 2026年8月7日
  • 連邦政府機関の修正期限: 2026年8月10日
  • 公開されているProof-of-Concept (PoC) エクスプロイトコード: 2026年6月29日に公開されており、悪用が容易であることを示しています。

参照したサイト

  1. CVE-2026-8037 – Progress LoadMaster - Action1
  2. CVE-2026-8037: Progress LoadMaster Command Injection Vulnerability - Knox Systems
  3. Progress Kemp LoadMaster CVE-2026-8037: Brief Summary of a Critical Unauthenticated Command Injection - ZeroPath Blog
  4. CVE-2026-8037: Progress Kemp LoadMaster RCE Exploited in the Wild - SOCRadar
  5. CVE-2026-8037 | Tenable®
  6. Progress Kemp LoadMaster Vulnerability Targeted (CVE-2026-8037) | eSentire
  7. OS Command Injection Remote Code Execution Vulnerability... · CVE-2026-8037 - GitHub
  8. Emergency Security Bulletin: API in Progress ADC Products - RedLegg
  9. LoadMaster Critical Security Bulletin – June 2026 – (CVE-2026-8037, CVE-2026-33691) - Progress Community
  10. NVD-CVE-2026-8037 - National Vulnerability Database
  11. CISA Adds One Known Exploited Vulnerability to Catalog | CISA
  12. Enterprise Tech In, Shell Out (Progress Kemp LoadMaster Uninitialized Heap to Pre-Auth RCE CVE-2026-8037) - watchTowr Labs
  13. CVE-2026-8037 - CVE Record
  14. CVE-2026-8037 exploited: patch Progress LoadMaster now - Senserva

NVDサイト

NVDでCVEの詳細を見る

戻る