コンテナ管理ツール「Arcane」にRCE脆弱性 - 最新版で問題機能を削除

コンテナ管理ツール「Arcane」に任意のコードを実行されるおそれがある脆弱性が明らかとなった。アップデートが呼びかけられている。

認証済みユーザーによってリモートから任意のコードを実行されるおそれがあるコマンドインジェクションの脆弱性「CVE-2026-23520」が確認された。コンテナのアップデートサービスに用いられる「ライフサイクルラベル」の処理において適切に検証が行われていないことに起因するという。

「Arcane」では、管理者権限を持っていない場合もAPIを通じてプロジェクトを作成でき、コンテナの更新前や更新後に実行するコマンドを定義できるが、コマンドなどを含む細工した「ライフサイクルラベル」が検証なしに実行される状態だった。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」におけるベーススコアを「9.0」、重要度を「クリティカル（Critical）」と評価している。

開発チームでは、脆弱性の判明を受けて問題とされるライフサイクルラベルの機能を「同1.13.0」にて削除。最新版へのアップデートが呼びかけられている。

（Security NEXT - 2026/01/19 ）ツイート