プラットフォーム
other
コンポーネント
qingdaou-onlinejudge
修正版
1.6.1
1.6.2
QingdaoU OnlineJudge のバージョン 1.6.0 から 1.6.1 には、service_url 関数におけるサーバーサイドリクエストフォージェリ (SSRF) の脆弱性が存在します。この脆弱性を悪用されると、攻撃者は内部リソースにアクセスできる可能性があります。現時点では修正プログラムは提供されていません。
QingdaoU OnlineJudgeのバージョン1.6.1以前に、サーバーサイドリクエスト偽造（SSRF）の脆弱性が検出されました。この脆弱性は、コンポーネントjudgeserverheartbeat EndpointのJudgeServer.serviceurlファイルのserviceurl関数に存在します。攻撃者は、サービスURLを操作することでこの脆弱性を悪用し、内部リソースへの不正アクセスや、サーバーに代わってアクションを実行する可能性があります。この脆弱性の深刻度はCVSS 6.3と評価されており、中程度のリスクを示しています。ベンダーが初期の公開通知に反応しなかったことは、状況を悪化させ、ユーザーに公式な修正を提供していません。
SSRFの脆弱性は、service_url関数で使用されるURLを操作することで悪用されます。攻撃者は、OnlineJudgeサーバーがアクセスできる内部リソースを指す悪意のあるURLを挿入する可能性があります。これにより、攻撃者は機密ファイルを読み取ったり、内部サービスとやり取りしたり、システムの構成と権限に応じて、サーバー上でコマンドを実行したりする可能性があります。この脆弱性のリモート性質により、攻撃者はこの脆弱性を悪用するためにサーバーへの物理的なアクセスを必要としません。
Organizations and individuals deploying QingdaoU OnlineJudge versions 1.6.0 through 1.6.1 are at risk. This includes educational institutions, coding competition platforms, and any environment utilizing this specific version of the software. The lack of vendor response increases the risk, as timely security updates are unlikely.
disclosure
エクスプロイト状況
EPSS
0.04% (11% パーセンタイル)
CISA SSVC
ベンダーが修正を提供していないため、直近の軽減策は、影響を受けたQingdaoU OnlineJudgeシステムをパブリックネットワークから隔離することです。内部リソースへのアクセスを制限するためのファイアウォールと制限付きアクセスルールを実装することが重要です。サーバーログを積極的に監視し、異常なネットワークリクエストに関連する疑わしいアクティビティを検出することができます。可能であれば、より安全な代替手段への移行を検討してください。ベンダーに直接連絡してセキュリティアップデートをリクエストし、対応の欠如に対する懸念を表明することを強くお勧めします。
Se recomienda actualizar a una versión corregida de QingdaoU OnlineJudge que solucione la vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en el endpoint judge_server_heartbeat. Contactar al proveedor para obtener información sobre las versiones corregidas y los pasos de actualización. Como el proveedor no ha respondido, se recomienda investigar el código fuente para mitigar la vulnerabilidad.
脆弱性分析と重要アラートをメールでお届けします。
SSRF（Server-Side Request Forgery）は、攻撃者がサーバーに外部から通常アクセスできないリソースへのリクエストを強制できる脆弱性です。
QingdaoU OnlineJudgeのバージョン1.6.1を使用している場合、データと内部システムのセキュリティを損なう可能性のあるSSRF攻撃を受ける可能性があります。
影響を受けたシステムをパブリックネットワークから隔離し、ファイアウォールを実装し、サーバーログを監視してください。
現時点では、ベンダーは公開通知に反応していないため、公式な解決策は利用できません。
National Vulnerability Database（NVD）などの脆弱性データベースで、脆弱性CVE-2026-5538に関する詳細情報を入手できます。
CVSS ベクトル