Coolifyで11件の重大欠陥が判明、自己ホスト環境に全面的なリスク

オープンソースのセルフホスティング基盤「Coolify」において、認証後の操作を起点にサーバー全体を掌握される恐れのある複数の重大な脆弱性が公表されました。いずれも深刻度が非常に高く、設定や運用次第では低権限ユーザーから管理サーバー全体へ影響が及ぶ可能性があります。現時点で悪用は確認されていないものの、公開環境では迅速な対応が求められます。

The Hacker News：Coolify Discloses 11 Critical Flaws Enabling Full Server Compromise on Self-Hosted Instances

この記事のポイント

影響のあるシステム

Coolify（4.0.0-beta系の自己ホスト環境）
Docker / docker-compose を用いたデプロイ環境
複数ユーザーで運用されている管理サーバー

推奨される対策

影響を受けるバージョンを使用していないかの確認
修正済みバージョンへの速やかなアップデート
管理権限・機能権限の付与範囲の再点検

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

Coolify：オープンソースのセルフホスティング／PaaS管理プラットフォームです。
コマンドインジェクション：入力値を通じて意図しないOSコマンドを実行される脆弱性です。
CVSS：脆弱性の深刻度を数値化する共通評価指標です。

脆弱性の概要と想定される被害

今回公表されたCoolifyの脆弱性は、単一の問題ではなく、複数の機能にまたがって確認されています。データベースのバックアップやインポート、プロキシ設定、ストレージマウント、Gitリポジトリ指定など、日常的な管理操作が攻撃の起点になり得る点が特徴です。いずれも認証後の操作を前提としていますが、権限の低いユーザーであっても、条件次第ではroot権限で任意のコマンドを実行できる可能性があると報告されています。その結果、コンテナ環境を越えてホストOS全体が侵害される恐れがあります。

技術的背景と深刻度が高い理由

脆弱性の多くは、ユーザー入力が適切に検証・無害化されないまま、OSコマンドやdocker-compose設定に反映される点に起因しています。特に深刻とされているのは、秘密鍵の情報漏えいや、Gitリポジトリ指定欄を通じた任意コマンド実行などで、これらは管理サーバーへの直接的な侵入につながる可能性があります。CVSSスコアが9点台後半から10.0と評価されている点からも、影響範囲と悪用時の危険性が極めて高いことがうかがえます。

日本の利用者が直ちに確認すべき点

Coolifyは個人開発環境から業務用途まで幅広く使われる可能性があるため、自己ホストしている場合は特に注意が必要です。まず、自身の環境が影響を受けるバージョンに該当するかを確認し、修正済みリリースが提供されている場合は速やかに更新することが重要です。また、複数ユーザーで運用している場合、不要に広い権限が付与されていないかを見直すことも有効です。現時点では悪用は確認されていないとされていますが、公開台数が多いことから、今後を見据えた早期対応が現実的な防御策と考えられます。

参考文献・記事一覧

The Hacker News

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
Hack The Box Business CTF 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）