Orkes Conductor vulnérable à une exécution de code à distance pré-authentifiée

Contexte de la vulnérabilité

Le moteur de workflow Orkes Conductor, version 3.21.21 jusqu’à 3.30.1, expose une faille classée CVE-2026-58138. Le score CVSS v3.1 atteint 9.8 (v4 : 9.3), ce qui indique une gravité critique. La faille permet une exécution de code à distance (RCE) sans authentification préalable. Fortinet a confirmé que des acteurs malveillants exploitent activement ce vecteur depuis début septembre 2026, bloquant 1 290 tentatives en 24 heures, soit une hausse de 132 % par rapport aux jours précédents, et près de 7 000 tentatives entre le 2 et le 9 septembre. Les origines géographiques principales sont l’Allemagne, Hong Kong, l’Indonésie, les Émirats arabes unis et l’Inde, avec des traces supplémentaires en France et aux États-Unis via les honeypots de Previdian.

Mécanisme d’exploitation

Orkes Conductor utilise GraalVM pour évaluer des expressions JavaScript ou Python intégrées dans les définitions de workflow. Dans les versions concernées, les évaluateurs peuvent être configurés avec HostAccess.ALL ou allowAllAccess(true). Cette configuration supprime les restrictions du sandbox, accordant aux scripts un accès complet aux API Java du système hôte. Les attaquants soumettent des définitions de workflow contenant des expressions malveillantes via les types de tâches INLINE, LAMBDA, DO_WHILE et SWITCH. Grâce à Java reflection ou à des appels directs à Runtime.exec, ils déclenchent des commandes système arbitraires avec les privilèges du processus Conductor, qui s’exécute généralement avec des droits élevés sur le serveur d’orchestration.

Le point d’entrée critique est l’API du workflow, accessible avant toute authentification. Un payload typique inclut un script JavaScript qui invoque java.lang.Runtime.getRuntime().exec('cmd') ou un équivalent Python, contournant ainsi les contrôles d’accès applicatifs. L’absence de filtrage ou de sandboxing rend la chaîne d’exploitation entièrement automatisable, comme le montre la hausse soudaine du nombre d’attaques observées.

Implications et mesures d’atténuation

Une fois la RCE obtenue, l’attaquant peut installer des backdoors, extraire des données sensibles ou pivoter vers d’autres services internes, le tout avec les privilèges du processus Conductor. La portée dépend du contexte d’exécution : dans des environnements cloud, cela peut conduire à la compromission de conteneurs ou de machines virtuelles hébergeant le moteur.

Les recommandations officielles sont :

• Mettre à jour immédiatement vers Orkes Conductor 3.30.2 ou une version supérieure, qui désactive les évaluateurs non sandboxés par défaut.
• Restreindre l’accès réseau à l’endpoint API du workflow en le plaçant derrière un pare‑feu ou un contrôle d’accès Zero‑Trust.
• Activer la journalisation détaillée des soumissions de workflow afin de détecter les expressions JavaScript ou Python inhabituelles.
• Envisager l’isolation du processus Conductor dans un conteneur à privilèges limités pour réduire l’impact d’une éventuelle compromission.

Les organisations qui ne peuvent pas appliquer immédiatement le correctif doivent surveiller les indicateurs de compromission suivants : tentatives de connexion à l’API depuis des adresses IP non autorisées, logs contenant les mots‑clés HostAccess.ALL ou allowAllAccess, et l’apparition de processus enfants inattendus. En l’absence de données publiques supplémentaires sur les signatures d’exploitation, la vigilance repose sur la mise en place de contrôles de réseau et de logs détaillés.