Critical UniFi OS bug lets hackers gain root without authentication

攻撃者は、Ubiquiti UniFi OSサーバーの3つの既に対処済みの脆弱性を組み合わせて利用することで、認証なしでroot権限を持つリモートコードを実行することが可能です。

これらのセキュリティ問題は、CVE-2026-34908、CVE-2026-34909、およびCVE-2026-34910として追跡されています。これらは5月に修正済みであり、UniFi OS Serverバージョン5.0.6以前のバージョンに影響を及ぼします。

これら3つの脆弱性は、悪用にはネットワークへのアクセスが必要であるにもかかわらず、すべて最高レベルの深刻度評価を受けていましたが、ベンダーのアドバイザリでは、これらを組み合わせてリモートコード実行が可能であることは言及されていませんでした。

image
  • CVE-2026-34908は、不適切なアクセス制御の脆弱性であり、これにより脆弱なシステムへの不正な変更が可能になる
  • CVE-2026-34909は、基盤となるオペレーティングシステム上のファイルを露出させる可能性のあるパストラバーサル脆弱性です
  • CVE-2026-34910は、影響を受けるデバイス上でコマンドを実行するために悪用可能なコマンドインジェクションの脆弱性です

Bishop Foxの研究者による追加の技術的詳細（実稼働中のUniFi OS Server 5.0.6インスタンス上で完全な攻撃経路を検証したもの）によると、 CVE-2026-34908およびCVE-2026-34909を利用することで認証をバイパスし、脆弱なエンドポイントに到達でき、そこでCVE-2026-34910によってコマンドインジェクションが可能になることが示されています。

注入されたコマンドは当初root権限で実行されませんが、研究者らは、影響を受けるサービスアカウントのsudo権限により、権限昇格が容易に行えることを発見しました。

Bishop Foxによると、標的システム上でrootシェルを取得するために、認証情報、ユーザーの操作、または事前のアクセス権は一切必要とされないとのことです。

「UniFi OS Serverは単なる一般的なLinuxマシンではありません。これは組織のネットワークの管理プレーンであり、デバイスの配置場所、物理的なアクセスドア、監視カメラ、そしてそれらに関連付けられたIDなどを含みます」とBishop Foxは説明しています。

「アプライアンス上のroot権限は、コンソールが管理するすべてのものに対する管理権限を意味します。」

根本原因とエクスプロイトチェーン

認証バイパスの根本原因は、UniFi OSが着信リクエストを検証およびルーティングする方法の不一致にあります。

具体的には、認証コンポーネントは生のリクエストURIを評価する一方で、Nginxは同じURIの正規化されたバージョンに基づいてリクエストをルーティングします。

攻撃者は、生の形式では認証不要のエンドポイントをターゲットにしているように見えながら、正規化後に保護された内部ルートに解決されるリクエストを細工することで、認証をバイパスし、一般には公開されるべきではないバックエンドサービスに到達することができます。

侵入に成功すると、攻撃者は CVE-2026-34910 の脆弱性を持つ package-update エンドポイントを標的にし、検証されていないユーザー入力をシェルコマンドに渡して、システム上で任意のコマンドを実行することができます。

注入されたコマンドは、いくつかのシステムバイナリへのパスワードレス sudo アクセス権を持つ、特権の高いサービスアカウントで実行されるため、root への権限昇格は容易です。

研究者らはこのRCEチェーンの有効性を検証しましたが、詳細な情報や動作する概念実証（PoC）は公開していません。

検出ツールの提供

Bishop Foxは、防御担当者が自身のインスタンスがこの認証不要のRCEチェーンに対して脆弱であるかどうかを特定できるよう支援するため、無料の検出スクリプトを公開しました。

このスクリプトは、危険なコマンドを実行することなく脆弱なコードパスに到達するように特別に作成されたリクエストを安全に送信し、ターゲットを「脆弱」、「パッチ適用済み」、「影響なし」、または「判定不能」に分類することでこれを実現します。

ただし、このスクリプトは、現在進行中の攻撃や、過去に悪用が行われたかどうか、あるいはターゲットに永続化メカニズムやバックドアが存在するかどうかを検出するものではない点に留意する必要があります。

研究者らは、この攻撃には認証が不要であるため、過去の悪用を特定するのは困難である可能性があると指摘している。

「このチェーンは、認証情報もユーザーの操作も必要とせずにルート権限に到達します（我々が確認済みです）。そのため、ログイン失敗の痕跡を探すことはできません」とBishop Foxは警告しています。

このツールとは別に、防御側は「/api/auth/validate-sso/」を含むリクエストを監視したり、「ucs/update/latest_package」へのリクエスト、「ucs-update」配下の不審な子プロセス、予期しないsudoコマンドを監視したりすることも可能です。

Bishop Foxは、この攻撃チェーンがUniFi OS Server 5.0.8では機能しないことを確認しているため、ユーザーはこのバージョン以降にアップグレードする必要があります。

ただし、組織は、侵害されていないシステムにアップデートがインストールされていることを確認する必要があります。