AzuraCast でステーション管理者が root のコマンドを実行できる欠陥（CVE-2026-121428）: CVSS 8.8、タイムゾーン欄から設定を注入（0.23.8 以前・修正版の番号は未確認）

AzuraCast（ネットラジオ局を自分で運用するための管理ソフト）に、ステーション管理者の権限だけで、サーバー上の OS コマンドを root 権限で動かせる欠陥（CVE-2026-121428）が公表されました。ステーションのプロフィールを編集する API で、タイムゾーンの欄に改行を含む文字列を送ると、プロセス管理ツール Supervisor（スーパーバイザー）の設定に任意の項目を書き込めます。設定が再生成されたとき、書き込まれた「新しいプログラム」が root で実行されます。NVD に載っている CVSS v3.1 は 8.8（AV:N/AC:L/PR:L/UI:N/C:H/I:H/A:H、評価元は VulnCheck）で、ログインが必要なため severity は high です。CISA の KEV（悪用が確認された脆弱性）には載っておらず、EPSS（悪用される見込みの数値）は取得時点でデータがありません。対象は「0.23.8 まで」ですが、修正版の番号は取得時点で未確認です。

概要

項目	内容
問題	ステーションのタイムゾーン欄の検証不備により、改行で Supervisor 設定を注入できる（CWE-94）
攻撃条件	ネットワーク経由。ステーション管理者（プロフィール編集の権限を持つ利用者）のログインが必要（PR:L）。利用者の操作は不要（UI:N）
影響	設定の再生成時に、注入された Supervisor プログラムが root で OS コマンドを実行。機密性・完全性・可用性とも高
CVSS v3.1	8.8（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H、評価元は VulnCheck）。CVSS v4.0 では 8.7（同じ評価元）
EPSS	取得時点（2026-11-04）では FIRST にデータなし
CISA KEV	載っていない（2026-11-04 時点）
対象	NVD・GitHub の勧告とも「0.23.8 まで」
修正	GitHub の勧告では「修正版なし」の表示。0.23.9 と 0.24.0 のタグは存在するが、修正を含むかは未確認

AzuraCast は 1 台のサーバーで複数のラジオ局（ステーション）を運用でき、局ごとに管理者を置けます。ふだん局の管理者は自分の局の設定しか触れないはずですが、この欠陥では、局の管理者がサーバー全体の root 権限を得られます。複数の人に局の管理を任せている環境では、信頼できない管理者が 1 人いるだけでサーバーごと乗っ取られます。

どんな場合に危ないか

• 複数のステーションを運用し、局ごとに別の人（外部の配信者など）へ管理者権限を渡している場合。
• ステーション管理者のアカウントが漏れた、またはパスワードを使い回している場合。
• 管理画面をインターネットに公開している場合。

対応

1. 公式の修正リリースを確認する。取得時点で 0.23.8 より後のタグ（0.23.9、0.24.0）は存在するが、修正を含むかは勧告からは確認できていない。リリースノートを読んで更新する。
2. ステーション管理者の権限を、本当に必要な人だけに絞る。信頼できない人には渡さない。
3. 管理画面を VPN・リバースプロキシの認証・IP 制限の内側に置く。
4. 各ステーションのタイムゾーン設定に、改行や見慣れない文字が入っていないかを確認する。Supervisor の設定ファイルに身に覚えのない項目がないかも見る。
5. 疑わしい場合は、管理者アカウントのパスワードを入れ替え、サーバーを侵害された前提で調べる。

未確認の点

• 悪用の有無・規模。現時点で攻撃の報告は確認できていない。
• 修正を含む公式リリースの版番号（0.23.9・0.24.0 が該当するか）。
• 0.23.8 より前のすべての版が影響を受けるのか（記載は「0.23.8 まで」）。
• 設定の再生成が起きる具体的な契機（自動か、管理操作が要るか）。
• NVD の分析は未完了（Deferred）で、評価が変わる可能性がある。EPSS も未算出で、公開された悪用コードの有無も確認できていない。