#20260327 n8nやBentoMLで深刻な脆弱性が発覚！

■ 今日のハイライト 本日は、自動化ワークフローツールの n8n、機械学習モデルのデプロイを支える BentoML、そして OpenTelemetry Javaagent に関する重大なセキュリティニュースをお届けします。 ▼ エヌエイトエヌにおける複数の深刻な脆弱性 ＜CVE-2026-33660 / CVE-2026-33665 他＞ ワークフロー自動化ツールの n8n において、複数の致命的な脆弱性が修正されました。 (1) AlaSQL を用いたリモートコード実行（RCE）：制限を回避してホスト上のファイルを読み取ったりコードを実行したりできる問題。 (2) LDAP認証時のアカウント乗っ取り：メール属性を悪用して他ユーザー（管理者など）になりすますことができる問題。 ▼ BentoML におけるコマンドインジェクション ＜CVE-2026-33744＞ AI・機械学習のパッケージングツールである BentoML の設定ファイル（bentofile.yaml）における脆弱性です。パッケージ名を指定する設定値のサニタイズ不足により、Dockerfileの RUN コマンドに任意のOSコマンドを紛れ込ませることが可能でした。 ▼ OpenTelemetry Javaagent における RCE ＜CVE-2026-33701＞ Java アプリケーションの監視エージェントにおいて、安全でないデシリアライゼーションの脆弱性が発覚しました。RMI や JMX ポートにアクセス可能な攻撃者が、JVM上でリモートから任意のコードを実行（RCE）できるおそれがあります。 ▼ その他の重要トピック 本日はこれ以外にも、動画プラットフォームの AVideo や タスク管理ツールの Vikunja で数十件にのぼる脆弱性が一斉に公開されています。該当製品をご利用の方は、必ず公式のセキュリティアドバイザリをご確認の上、最新版へのアップデートを実施してください。 #セキュリティ #エンジニア #ITニュース #n8n #BentoML #OpenTelemetry Data sources: GitHub Advisory Database (CC-BY 4.0) --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793