OneUptime (CVE-2026-33396): RCE (Playwrightスクリプト)

OneUptime の CVE-2026-33396 は、低権限の認証済みユーザー (ProjectMember) が、合成モニターの Playwright スクリプト実行を悪用することで、Probe コンテナ/ホスト上でリモートコマンド実行を達成することを可能にします。合成モニターコードは VMRunner.runCodeInNodeVM 内で、ライブの Playwright ページオブジェクトのコンテキストで実行されます。サンドボックスはブロックされたプロパティ/メソッドの拒否リストに依存していますが、これは不完全です。具体的には、_browserType と launch を悪用して、任意のコードの実行を実現できます。

Organizations utilizing OneUptime for monitoring and observability, particularly those with ProjectMember roles that have the ability to create or modify Synthetic Monitors, are at risk. Shared hosting environments where multiple users share access to the OneUptime instance are also particularly vulnerable, as a compromised ProjectMember account could impact the entire environment.

• nodejs / server:

ps aux | grep 'VMRunner.runCodeInNodeVM' | grep -i playwright

• nodejs / server:

journalctl -u oneuptime -g 'Playwright script execution'

• generic web: Inspect OneUptime Synthetic Monitor Playwright scripts for suspicious code, particularly attempts to access or manipulate _browserType or launchServer properties.

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-03-19
2. 公開日2026-03-26
3. EPSS 更新日2026-04-03

この脆弱性に対する解決策は、OneUptime をバージョン 10.0.35 以降にアップグレードすることです。このバージョンには、Playwright 実行環境を強化し、リモートコマンド実行に使用できるプロパティとメソッドをより効果的にブロックする修正が含まれています。悪用のリスクを軽減するために、できるだけ早くアップグレードすることを強くお勧めします。さらに、ユーザー権限構成を調べて、必要なユーザーのみが合成モニタリング機能にアクセスできるようにしてください。