Hyland Alfresco Transformation Service 引数注入によるリモートコード実行 (RCE)

このRCE脆弱性は、攻撃者がAlfresco Transformation Serviceを実行しているサーバー上で完全な制御権を獲得することを可能にします。攻撃者は、機密情報の窃取、システムの改ざん、さらにはネットワーク内への横展開といった悪意のある活動を実行する可能性があります。特に、ドキュメント処理ワークフローが頻繁に利用される環境では、この脆弱性の影響は甚大です。類似の脆弱性は、複雑なドキュメント処理パイプラインを持つ他のシステムにも存在する可能性があります。

Organizations utilizing Alfresco Transformation Service in production environments, particularly those with exposed document processing endpoints, are at significant risk. Environments with weak access controls or inadequate input validation are especially vulnerable. Shared hosting environments where multiple users share the same Alfresco instance are also at increased risk.

• java / server:

ps -ef | grep TransformationService

• java / server:

journalctl -u TransformationService | grep -i "argument injection"

• generic web:

curl -I <alfresco_transformation_service_url>/processDocument

• generic web:

 grep -i "argument injection" /var/log/apache2/access.log

1. 2026-02-19Disclosure

   disclosure

1. 予約済み2026-02-13
2. 公開日2026-02-19
3. 更新日2026-02-20
4. EPSS 更新日2026-03-23

最も効果的な対策は、Alfresco Transformation Serviceをバージョン5.2.4にアップデートすることです。アップデートがすぐに適用できない場合は、入力検証を強化し、信頼できないソースからのドキュメント処理を制限するなどの緩和策を検討してください。Webアプリケーションファイアウォール（WAF）を使用して、悪意のある引数注入攻撃をブロックすることも有効です。また、関連するログを監視し、異常なアクティビティを検出するためのアラートを設定することも重要です。