2025/12/23

n8nに深刻な脆弱性、世界で10万超のインスタンスに影響か

見出し

1 認証済みユーザーによるコード実行が可能に
2 10万超のインスタンスに影響の可能性
3 バージョン0.211.0以降が対象
4 速やかな更新を推奨
5 過去にも類似の脆弱性
6 ソース

オープンソースのワークフロー自動化プラットフォーム「n8n」に、リモートコード実行を許す深刻な脆弱性が見つかった。CVE-2025-68613として追跡されるこの脆弱性は、共通脆弱性評価システム（CVSS）で9.9という極めて高いスコアを記録しており、攻撃者がシステムを完全に制御できる可能性がある。セキュリティ企業Censysの調査では、世界で約10.3万件のインスタンスが影響を受ける可能性があるとしている。

AI Workflow Automation Platform & Tools – n8n より引用

認証済みユーザーによるコード実行が可能に

この脆弱性は、n8nのワークフロー式評価システムに存在する。n8nの開発元によると、認証済みユーザーがワークフロー設定時に供給する式が、本来隔離されるべき実行コンテキストから十分に分離されていない状態で評価される場合があるという。

攻撃者は、悪意のある式を注入することで、n8nプロセスの権限で任意のコードを実行できる。攻撃に成功すれば、機密データへの不正アクセス、ワークフローの改ざん、システムレベルでの操作実行が可能となり、インスタンスが完全に侵害される恐れがある。

10万超のインスタンスに影響の可能性

攻撃対象管理プラットフォームのCensysは12月22日時点で、世界に約10.3万件の脆弱性を抱える可能性のあるインスタンスが存在すると報告した。これらのインスタンスは主に米国、ドイツ、フランス、ブラジル、シンガポールに集中している。

n8nパッケージは、npmの統計によると週間約5.7万件のダウンロードがあり、多くの組織で利用されている。ワークフロー自動化ツールは、API、データベース、クラウドサービスなど重要なシステムと連携することが多く、侵害された場合の影響は甚大だ。

バージョン0.211.0以降が対象

影響を受けるのは、バージョン0.211.0以降で、1.120.4、1.121.1、1.122.0より前のすべてのバージョンだ。開発元は12月19日に脆弱性を公開し、修正版として1.120.4、1.121.1、1.122.0をリリースした。

修正版では、式評価を制限する追加の保護機能が導入され、サンドボックスからの脱出を防ぐ仕組みが強化されている。

速やかな更新を推奨

セキュリティ専門家らは、n8nユーザーに対し、修正版への速やかな更新を強く推奨している。この脆弱性の深刻度と悪用の容易さを考慮すると、特にインターネットに公開されているインスタンスや、マルチテナント環境で運用されているインスタンスは高リスクだとしている。

直ちに更新することが困難な場合、開発元は暫定的な緩和策として次の対応を挙げている。ワークフローの作成・編集権限を完全に信頼できるユーザーのみに制限すること、そしてn8nを制限されたOSの権限とネットワークアクセスを持つ強化された環境で展開することだ。ただし、これらの回避策はリスクを完全には排除せず、短期的な措置にすぎないと強調している。

過去にも類似の脆弱性

n8nでは過去にも、ワークフロー機能に関連する脆弱性が報告されている。CVE-2025-65964では、Gitノードを通じてリモートコード実行が可能になる問題が見つかった。また、CVE-2025-57749では、ファイル読み書きノードでシンボリックリンクを悪用した制限回避が可能だった。

セキュリティ研究者らは、ワークフロー自動化プラットフォームは設定と実行の境界が曖昧になりやすく、適切な分離と権限制限が不可欠だと指摘している。

ソース

NVD – CVE-2025-68613
https://nvd.nist.gov/vuln/detail/CVE-2025-68613

Critical n8n Flaw (CVSS 9.9) Enables Arbitrary Code Execution Across Thousands of Instances – The Hacker News
https://thehackernews.com/2025/12/critical-n8n-flaw-cvss-99-enables.html

December 22 Advisory: Critical n8n Vulnerability Allows Remote Code Execution [CVE-2025-68613] – Censys
https://censys.com/advisory/cve-2025-68613

CVE-2025-68613: Critical n8n RCE & Server Compromise – Orca Security
https://orca.security/resources/blog/cve-2025-68613-n8n-rce-vulnerability/

カテゴリ：セキュリティニュース,脆弱性
タグ：n8n