--- title: "AzuraCast でステーション管理者が root のコマンドを実行できる欠陥（CVE-2026-121428）: CVSS 8.8、タイムゾーン欄から設定を注入（0.23.8 以前・修正版の番号は未確認）" url: https://n-t-p.io/worldsecurity/articles/azuracast-cve-2026-121428-station-manager-timezone-supervisor-config-injection-root-rce-through-0-23-8 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-121428 --- # AzuraCast でステーション管理者が root のコマンドを実行できる欠陥（CVE-2026-121428）: CVSS 8.8、タイムゾーン欄から設定を注入（0.23.8 以前・修正版の番号は未確認） > **TL;DR:** AzuraCast 0.23.8 以前で、ステーション管理者がタイムゾーン欄から Supervisor 設定を注入し、root で OS コマンドを実行できる欠陥（CVE-2026-121428、CVSS v3.1 8.8）。ログイン必要（PR:L）のため high。KEV 未掲載。修正版の番号は未確認。 **要点** - ステーションのタイムゾーン欄の検証不備で Supervisor 設定を注入でき、設定の再生成時に root で OS コマンドが動く（CVE-2026-121428、CWE-94）。CVSS v3.1 は 8.8（評価元 VulnCheck） - 攻撃にはステーション管理者のログインが必要（PR:L）。複数の局を別の管理者に任せている環境ほど危ない - 対象は 0.23.8 まで。GitHub の勧告は修正版なしの表示で、0.23.9・0.24.0 が修正かは未確認。KEV 未掲載、EPSS は取得時点でデータなし - 管理者権限の絞り込み、管理画面の公開をやめる、リリースノートの確認と更新を。悪用の有無・再生成の契機は未確認 AzuraCast（ネットラジオ局を自分で運用するための管理ソフト）に、ステーション管理者の権限だけで、サーバー上の OS コマンドを root 権限で動かせる欠陥（CVE-2026-121428）が公表されました。ステーションのプロフィールを編集する API で、タイムゾーンの欄に改行を含む文字列を送ると、プロセス管理ツール Supervisor（スーパーバイザー）の設定に任意の項目を書き込めます。設定が再生成されたとき、書き込まれた「新しいプログラム」が root で実行されます。NVD に載っている CVSS v3.1 は 8.8（AV:N/AC:L/PR:L/UI:N/C:H/I:H/A:H、評価元は VulnCheck）で、ログインが必要なため severity は high です。CISA の KEV（悪用が確認された脆弱性）には載っておらず、EPSS（悪用される見込みの数値）は取得時点でデータがありません。対象は「0.23.8 まで」ですが、修正版の番号は取得時点で未確認です。 ## 概要 | 項目 | 内容 | |---|---| | 問題 | ステーションのタイムゾーン欄の検証不備により、改行で Supervisor 設定を注入できる（CWE-94） | | 攻撃条件 | ネットワーク経由。ステーション管理者（プロフィール編集の権限を持つ利用者）のログインが必要（PR:L）。利用者の操作は不要（UI:N） | | 影響 | 設定の再生成時に、注入された Supervisor プログラムが root で OS コマンドを実行。機密性・完全性・可用性とも高 | | CVSS v3.1 | 8.8（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H、評価元は VulnCheck）。CVSS v4.0 では 8.7（同じ評価元） | | EPSS | 取得時点（2026-11-04）では FIRST にデータなし | | CISA KEV | 載っていない（2026-11-04 時点） | | 対象 | NVD・GitHub の勧告とも「0.23.8 まで」 | | 修正 | GitHub の勧告では「修正版なし」の表示。0.23.9 と 0.24.0 のタグは存在するが、修正を含むかは未確認 | AzuraCast は 1 台のサーバーで複数のラジオ局（ステーション）を運用でき、局ごとに管理者を置けます。ふだん局の管理者は自分の局の設定しか触れないはずですが、この欠陥では、局の管理者がサーバー全体の root 権限を得られます。複数の人に局の管理を任せている環境では、信頼できない管理者が 1 人いるだけでサーバーごと乗っ取られます。 ## どんな場合に危ないか - 複数のステーションを運用し、局ごとに別の人（外部の配信者など）へ管理者権限を渡している場合。 - ステーション管理者のアカウントが漏れた、またはパスワードを使い回している場合。 - 管理画面をインターネットに公開している場合。 ## 対応 1. 公式の修正リリースを確認する。取得時点で 0.23.8 より後のタグ（0.23.9、0.24.0）は存在するが、修正を含むかは勧告からは確認できていない。リリースノートを読んで更新する。 2. ステーション管理者の権限を、本当に必要な人だけに絞る。信頼できない人には渡さない。 3. 管理画面を VPN・リバースプロキシの認証・IP 制限の内側に置く。 4. 各ステーションのタイムゾーン設定に、改行や見慣れない文字が入っていないかを確認する。Supervisor の設定ファイルに身に覚えのない項目がないかも見る。 5. 疑わしい場合は、管理者アカウントのパスワードを入れ替え、サーバーを侵害された前提で調べる。 ## 未確認の点 - 悪用の有無・規模。現時点で攻撃の報告は確認できていない。 - 修正を含む公式リリースの版番号（0.23.9・0.24.0 が該当するか）。 - 0.23.8 より前のすべての版が影響を受けるのか（記載は「0.23.8 まで」）。 - 設定の再生成が起きる具体的な契機（自動か、管理操作が要るか）。 - NVD の分析は未完了（Deferred）で、評価が変わる可能性がある。EPSS も未算出で、公開された悪用コードの有無も確認できていない。 ## 出典 - [NVD CVE-2026-121428](https://nvd.nist.gov/vuln/detail/CVE-2026-121428) — NIST NVD - [VulnCheck 勧告 AzuraCast through 0.23.8](https://www.vulncheck.com/advisories/azuracast-through-0.23.8-rce-via-supervisor-configuration-injection-in-timezone) — VulnCheck - [AzuraCast GitHub セキュリティ勧告 GHSA-23wx-88m8-pfm2](https://github.com/AzuraCast/AzuraCast/security/advisories/GHSA-23wx-88m8-pfm2) — AzuraCast - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-121428) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/azuracast-cve-2026-121428-station-manager-timezone-supervisor-config-injection-root-rce-through-0-23-8