یک آسیب‌پذیری با شدت بحرانی در پلتفرم Orkes Conductor شناسایی شده است که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، کدهای مخرب را روی سیستم‌های هدف اجرا کنند. این پلتفرم که یک چارچوب متن‌باز برای مدیریت Microservices، گردش‌های کاری (Workflows) و عامل‌های هوش مصنوعی است، اکنون هدف حملات گسترده‌ای قرار گرفته است.
تحلیل فنی آسیب‌پذیری CVE-2026-58138
این نقص امنیتی که با شناسه CVE-2026-58138 و امتیاز CVSS 9.8 ردیابی می‌شود، از نوع Remote Code Execution (RCE) است. مهاجمان می‌توانند از طریق ارسال تعاریف گردش کار (Workflow Definitions) به API Endpoint مربوطه، عبارات مخرب JavaScript یا Python را تزریق کنند.
دلیل فنی این مشکل به نحوه اجرای اسکریپت‌ها در Conductor بازمی‌گردد. طبق گزارش‌های تخصصی، تسک‌های نوع INLINE و LAMBDA از یک محیط GraalVM با پیکربندی HostAccess.ALL استفاده می‌کنند. این تنظیم باعث غیرفعال شدن Sandbox شده و اجازه می‌دهد کد تزریق شده مستقیماً در Java Runtime اجرا شود و دستورات سیستم‌عامل (OS Commands) را با سطح دسترسی پردازش Conductor (که اغلب Root است) اجرا کند.
وضعیت بهره‌برداری و حملات
- عدم احراز هویت: به دلیل اینکه سرورهای متن‌باز Conductor به طور پیش‌فرض هیچ مکانیزم احراز هویتی را اعمال نمی‌کنند، APIهای گردش کار در معرض دسترسی عمومی قرار دارند.
- تاریخچه: این آسیب‌پذیری در ماه ژوئن در نسخه 3.30.2 اصلاح شد، اما پس از انتشار کد Proof-of-Concept (PoC) در اوایل آگوست، حملات فعال آغاز گردید.
- گزارشات: شرکت Fortinet گزارش داده است که تنها در بازه زمانی دو روزه (۸ و ۹ سپتامبر)، حدود ۱۳۰۰ تلاش برای بهره‌برداری از این نقص را مسدود کرده است.
توصیه‌های امنیتی و پیشگیری
برای مقابله با این تهدید، مدیران SOC و مهندسان امنیت باید اقدامات زیر را سریعاً اجرا کنند:
- به‌روزرسانی فوری: ارتقای Orkes Conductor به نسخه 3.30.2 یا نسخه‌های جدیدتر.
- محدودسازی دسترسی: مسدود کردن دسترسی خارجی به API Endpoints و قرار دادن سرویس در پشت Firewall برای جلوگیری از مواجهه مستقیم با اینترنت.
- پایش (Monitoring): بررسی لاگ‌ها برای شناسایی ارسال‌های مشکوک Workflow و اجرای دستورات غیرمجاز در سیستم.
- بررسی نفوذ: بازبینی سیستم‌هایی که نسخه‌های آسیب‌پذیر را اجرا می‌کردند تا هرگونه نشانه از نفوذ (Intrusion) شناسایی شود.
