Perl向けGRID::Machineのバージョン0.127以前は、安全でないデシリアライゼーションを介して任意のコード実行を許可します

GRID::Machine (バージョン 0.127 以前) の CVE-2026-4851 は、不安全なデシリアライゼーションにより、任意のコードの実行を可能にします。GRID::Machine は、Perl で SSH を介したリモートプロシージャコール (RPC) を容易にし、クライアントがリモートホスト上でコードを実行できるようにします。侵害された、または悪意のあるリモートホストは、この脆弱性を介してクライアントに任意のコードを戻して実行できます。具体的には、lib/GRID/Machine/Message.pm の read_operation() 関数は、リモート側から値を受信し、eval() を使用してデシリアライズします。これにより、コードインジェクションのためのバックドアが作成されます。$arg .= '$VAR1'; の連結は、評価されるコードを操作するための入り口点です。

Organizations and individuals using GRID::Machine in their Perl applications, particularly those exposing the RPC service to untrusted networks, are at risk. Shared hosting environments where multiple users share the same server are also vulnerable, as a compromised user could potentially exploit this vulnerability to affect other users on the same system. Legacy systems running older versions of Perl and GRID::Machine are particularly susceptible.

• cpan: Use cpan list to identify installations of vulnerable GRID::Machine versions.

cpan list | grep GRID::Machine

• Perl Script Analysis: Examine Perl scripts that utilize GRID::Machine for potential vulnerabilities. Search for instances of eval calls related to data received from remote sources. • System Logs: Monitor system logs for unusual activity related to GRID::Machine, such as unexpected process executions or network connections. • File Integrity Monitoring: Implement file integrity monitoring on the lib/GRID/Machine/Message.pm file to detect unauthorized modifications.

1. 2026-03-29Disclosure

   disclosure

1. 予約済み2026-03-25
2. 公開日2026-03-29
3. 更新日2026-04-01
4. EPSS 更新日2026-04-04

現在、CVE-2026-4851 に対しては修正 (fix) が利用できません。主な軽減策は、パッチがリリースされるまで、影響を受ける GRID::Machine バージョン (0.127 より前) の使用を避けることです。GRID::Machine の使用が不可欠な場合は、クライアントとサーバーのシステムを厳密に分離し、ネットワークアクセスを制限し、不審な活動を監視することを強くお勧めします。さらに、コードをレビューおよび監査して、eval() のインスタンスを特定し、削除する必要があります。不安全なデシリアライゼーションに依存しない安全な代替手段に移行することが、長期的な最良の戦略です。セキュリティ情報源を積極的に監視して、更新またはパッチがないか確認してください。