Arcane における認証なし SSRF と、テンプレート取得エンドポイントにおける条件付きレスポンスリフレクション

ArcaneのCVE-2026-40242脆弱性は、Dockerコンテナ、イメージ、ネットワーク、ボリュームを管理するツールにおいて、認証なしのServer-Side Request Forgery (SSRF)脆弱性を引き起こします。1.17.3より前のバージョンでは、/api/templates/fetchエンドポイントは、呼び出し元が提供するURLパラメータを受け入れ、認証やURLスキーム、ホストの検証なしに、そのURLに対してサーバーサイドのHTTP GETリクエストを実行します。サーバーの応答は直接呼び出し元に返されます。これにより、攻撃者は認証なしにArcaneサーバーに内部または外部のリソースへのリクエストを強制し、機密情報を公開したり、他のシステムとやり取りしたりする可能性があります。

Organizations utilizing Arcane for Docker container management, particularly those with publicly accessible Arcane instances or those running Arcane within environments with sensitive internal resources, are at significant risk. Shared hosting environments where Arcane is deployed alongside other applications are also vulnerable.

• linux / server:

journalctl -u arcane | grep '/api/templates/fetch'

• generic web:

curl -I <arcane_instance_url>/api/templates/fetch?url=<internal_resource>

• generic web:

 grep -i '/api/templates/fetch' /var/log/apache2/access.log

1. 2026-04-10Disclosure

   disclosure

2. 2026-04-10Patch

   patch

1. 予約済み2026-04-10
2. 公開日2026-04-10
3. 更新日2026-04-13
4. EPSS 更新日2026-04-18

この脆弱性を軽減するための解決策は、Arcaneをバージョン1.17.3以降にアップグレードすることです。このバージョンは、ユーザーが提供するURLに対して適切なURL検証を実装することで、不正なリクエストを防ぎます。さらに、Arcaneが機密性の高いリソースから隔離されていることを確認するために、ネットワークおよびセキュリティ構成を確認してください。Arcaneログを不審な活動がないか監視することも推奨されます。即時のアップグレードが不可能な場合は、この脆弱性を悪用しようとするインバウンドリクエストをフィルタリングし、ブロックするWeb Application Firewall (WAF)をデプロイすることが、一時的な対策として役立ちます。