RCE Tanpa Auth dalam Orkes Conductor Sudah Dieksploitasi

RCE Tanpa Auth dalam Orkes Conductor Sudah Dieksploitasi

Kalau anda menjalankan Conductor - enjin orkestrasi open-source di belakang Orkes yang biasa digunakan pasukan untuk menyelaraskan microservices, workflow, dan AI agents - ada satu nombor versi yang perlu anda tahu sekarang: 3.30.2. Segala-galanya sebelum itu ialah pintu remote code execution tanpa autentikasi, dan penyerang sudah melaluinya sejak Ogos.

Cacat terbabit ialah CVE-2026-58138: RCE tanpa auth yang kritikal dengan skor CVSS v3.1 9.8 (9.3 untuk CVSS v4). Tiada log masuk, tiada interaksi pengguna, tiada port khas. Penyerang cuma menghantar workflow definition yang direka khas ke workflow API, server menilai JavaScript atau Python expression yang jahat, dan menjalankan arahan OS sewenang-wenang sebagai proses Conductor - yang dalam image container lalai selalunya root.

Alerta Fortinet menunjukkan ini bukan soal teori. Antara 2 hingga 9 September 2026, FortiGuard menyekat hampir 7,000 percubaan serangan, dan kadar harian melonjak 132% - 1,290 percubaan dalam tempoh 24 jam sehingga 9 September sahaja. Telemetri Previdian merekod tiga percubaan honeypot sejak 24 Julai dari dua alamat IP, dan Empirical Security mengesan eksploitasi di dunia sebenar seawal 21 Ogos.

Kenapa "expression evaluator" bertukar menjadi shell

Conductor membenarkan workflow definition menjalankan script inline. Task types seperti INLINE, LAMBDA, DO_WHILE, dan SWITCH menerima expression yang dibekalkan pengguna dan menilainya - biasanya untuk transformasi data ringkas di dalam workflow.

Punca bug ialah cara Conductor membina evaluator tersebut. Ia mencipta context GraalVM, dan untuk JavaScript host access penuh diaktifkan - sandbox pada dasarnya dimatikan:

// ScriptEvaluator.java (Conductor <= 3.29.x) - the vulnerable configuration
return Context.newBuilder("js")
        .allowHostAccess(HostAccess.ALL)   // full host interop: no sandbox
        .build();

Evaluator Python pula bersamaan, dibina dengan allowAllAccess(true). HostAccess.ALL membolehkan script memanggil sebarang kaedah atau field pada objek Java host, dan task INLINE mengikat input-nya sebagai $ - objek Java sebenar. Dari situ rantaian ke OS pendek sahaja, menerusi reflection:

// A workflow INLINE expression styled after the described exploit chain.
// $ is the task input object; the script reflects across to java.lang.Runtime.
$.getClass().getClass()                       // -> java.lang.Class
  .forName("java.lang.Runtime")                // load the Runtime class
  .getRuntime()
  .exec("bash -c 'id > /tmp/pwned'")           // arbitrary OS command

Bahagian yang tidak pernah diambil kira penyerang ialah autentikasi - API komuniti terbuka secara lalai - jadi keseluruhan serangan ialah dua panggilan HTTP tanpa auth: daftar workflow yang membawa expression bermusuhan dalam task INLINE-nya, kemudian mulakannya. Arahan berjalan dengan sebarang keistimewaan yang dimiliki proses Conductor.

Anda berkemungkinan sedang diimbas untuk ini sekarang

Exploit awam untuk CVE-2026-58138 diterbitkan di Exploit-DB pada 9 Ogos 2026 (EDB-52633), dan wujud code proof-of-concept lanjut untuk konfigurasi HostAccess.ALL biasa. FortiGuard menyatakan material senjata yang awam "meningkatkan kemungkinan scanning dan eksploitasi oportunistik terhadap deployment yang terdedah," dan telemetrinya mengesahkan scanning itu sedang berlaku sekarang. Sebahagian besar trafik serangan yang diperhatikan datang dari Jerman, Hong Kong, Indonesia, UAE, dan India.

Patch: jangan berhenti di 3.30.0 atau 3.30.1

Pembetulan tiba dalam Conductor 3.30.2 (commit 87a7d96 dan c691e35). Amaran daripada Empirical Security: versi 3.30.0 dan 3.30.1 hanya membawa blocklist separa yang menyekat reflection tetapi bukan hardening penuh. Hanya 3.30.2 menyekat kelas reflection dan process yang diperlukan exploit (Runtime, ProcessBuilder, Process, System), melumpuhkan host class loading, native access, penciptaan thread dan process, akses file dan environment, serta menghentikan evaluator Python daripada berjalan dengan allowAllAccess(true).

# upgrade a self-built Conductor to the fixed release (conductor-oss)
git clone --branch v3.30.2 https://github.com/conductor-oss/conductor.git

Naik taraf dahulu. Kalau benar-benar tidak boleh patch serta-merta:

• Berhenti mendedahkan API. Letakkan endpoint Conductor di belakang reverse proxy yang menguatkuasakan autentikasi (Nginx/Envoy atau filter Spring Security) dan keluarkan /api/metadata/workflow serta /api/workflow daripada sebarang rangkaian yang tidak dipercayai. Tiada flag konfigurasi selamat yang melumpuhkan evaluator INLINE/LAMBDA sebelum 3.30.2 - pengasingan rangkaian itulah tuas anda.
• Jalankan dengan least privilege. Jangan jalankan server sebagai root; pengguna bukan-root dengan least-privilege mengehadkan apa yang boleh dicapai oleh exec yang berjaya. Jika instance anda mengawal sistem lain (itulah tujuan sebenar orchestrator), radius letupan ialah setiap sistem yang sudah boleh dicapai workflow-nya.
• Pantau. Perhatikan workflow definition untuk task INLINE/LAMBDA/DO_WHILE/SWITCH yang evaluatorType-nya javascript, graaljs, atau python dengan expression yang merujuk getClass, forName, Runtime, ProcessBuilder, atau reflection - dan perhatikan JVM Conductor untuk process anak yang tidak sepatutnya ia hasilkan, seperti sh -c atau cmd.

Corak yang wajar diingati

CVE-2026-58138 ialah kes buku teks bagi "scripting sandbox" yang tidak pernah menjadi sandbox. Yang menjadikannya berbahaya ialah gabungan: evaluator tanpa sandbox yang bahasanya membenarkan reflection, duduk di belakang API yang terbuka secara lalai, dalam software yang tugas keseluruhannya mengorkestrasi akses kepada sistem lain. Mana-mana satu daripada tiga syarat itu boleh diurus; ketiga-tiganya sekali gus ialah kebakaran.

Kalau platform anda menjalankan expression atau query yang dibekalkan pengguna - SQL, eval, enjin polyglot, regex - semak apa yang evaluator itu sebenarnya boleh capai dan siapa yang boleh menghantar expression. Corak compounding yang sama kita lihat dalam heap overflow Unbound DNSSEC (parser yang mengendalikan input yang tidak dipercayai), dan gelombang eksploitasi PaperCut menunjukkan betapa cepat scanner mengamalkan PoC awam apabila ia mendarat. Kalau anda menjalankan Conductor, layan naik taraf 3.30.2 sebagai tugas pada hari yang sama.

Sumber

• NIST NVD: CVE-2026-58138
• VulnCheck: Orkes Conductor 3.21.21 < 3.30.2 Unauthenticated RCE via GraalVM Script Evaluators
• Fortinet FortiGuard Labs: Orkes Conductor Evaluator Remote Code Execution - Outbreak Alert
• Empirical Security: September 2026 CVE of the Month: The 9.8 Nobody Saw Coming
• SecurityWeek: Critical Orkes Conductor Vulnerability Exploited in Attacks
• conductor-oss (GitHub): Conductor v3.30.2 release
• Previdian: CVE-2026-58138 telemetry