B
今週中
Signal K Serverおよび@signalk/resources-providerにおけるパストラバーサル脆弱性
📌 一言でいうと
Signal K Serverおよび@signalk/resources-providerにおけるパストラバーサル脆弱性が報告されました。攻撃者は不適切なリソースIDを利用して任意のJSONファイルを読み取ることができ、特にsecurity.jsonからJWT署名秘密鍵やパスワードハッシュを奪取して管理者権限を偽装することが可能です。最終的に、サーバー権限での任意コマンド実行（RCE）に至る恐れがあります。
🔍該当判定
- 船舶（ボート）のデータ統合用ソフト「Signal K Server」を導入している
- Signal K Serverのバージョンが 2.0.0 から 2.34.0 の間である
- Signal K Serverのプラグイン「@signalk/resources-provider」のバージョンが 1.0.0 から 1.5.3 の間である
上記いずれにも該当しない → 静観でOK
✅該当時の対応
Signal K Serverおよび@signalk/resources-providerを最新バージョンにアップデートしてください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Signal K Server CVE-2026-123807 対応について
お疲れさまです。Signal K Serverの深刻な脆弱性に関する情報共有です。
■ 概要
パストラバーサル脆弱性 (CVSS 9.8) が確認されました。攻撃者が任意のJSONファイルを読み取ることができ、security.jsonからJWT秘密鍵等を奪取することで管理者権限を奪取し、最終的にサーバー上での任意コマンド実行（RCE）が可能です。
■ 影響範囲
- Signal K Server: 2.0.0 ～ 2.34.0
- @signalk/resources-provider: 1.0.0 ～ 1.5.3
■ 対応手順
1. 利用しているSignal K Serverおよび関連パッケージのバージョンを確認してください。
2. 修正済みの最新バージョンへアップデートを適用してください。
■ 参考情報
- NVD / CVE-2026-123807
対応優先度: 高
対応期限: 速やかに
お疲れさまです。Signal K Serverの深刻な脆弱性に関する情報共有です。
■ 概要
パストラバーサル脆弱性 (CVSS 9.8) が確認されました。攻撃者が任意のJSONファイルを読み取ることができ、security.jsonからJWT秘密鍵等を奪取することで管理者権限を奪取し、最終的にサーバー上での任意コマンド実行（RCE）が可能です。
■ 影響範囲
- Signal K Server: 2.0.0 ～ 2.34.0
- @signalk/resources-provider: 1.0.0 ～ 1.5.3
■ 対応手順
1. 利用しているSignal K Serverおよび関連パッケージのバージョンを確認してください。
2. 修正済みの最新バージョンへアップデートを適用してください。
■ 参考情報
- NVD / CVE-2026-123807
対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] Signal K Server CVE-2026-123807
Dear IT/Security Team,
We are sharing information regarding a critical vulnerability in Signal K Server.
■ Overview
A path traversal vulnerability (CVSS 9.8) has been identified. An attacker can read arbitrary JSON files, potentially exposing JWT signing secrets and password hashes from security.json. This can lead to administrative privilege escalation and Remote Code Execution (RCE) via the Execute provider.
■ Affected Versions
- Signal K Server: 2.0.0 to 2.34.0
- @signalk/resources-provider: 1.0.0 to 1.5.3
■ Remediation
1. Verify the current version of Signal K Server and @signalk/resources-provider in your environment.
2. Update to the latest patched version immediately.
■ Reference
- NVD / CVE-2026-123807
Priority: High
Deadline: Immediate
Dear IT/Security Team,
We are sharing information regarding a critical vulnerability in Signal K Server.
■ Overview
A path traversal vulnerability (CVSS 9.8) has been identified. An attacker can read arbitrary JSON files, potentially exposing JWT signing secrets and password hashes from security.json. This can lead to administrative privilege escalation and Remote Code Execution (RCE) via the Execute provider.
■ Affected Versions
- Signal K Server: 2.0.0 to 2.34.0
- @signalk/resources-provider: 1.0.0 to 1.5.3
■ Remediation
1. Verify the current version of Signal K Server and @signalk/resources-provider in your environment.
2. Update to the latest patched version immediately.
■ Reference
- NVD / CVE-2026-123807
Priority: High
Deadline: Immediate