脆弱性管理ツール「Rapid7 InsightVM」に脆弱性 - 認証回避のおそれ

Rapid7の脆弱性管理ツール「InsightVM」に深刻な脆弱性が判明した。アカウントを乗っ取られる可能性があるという。

クラウドの「Assertion Consumer Service（ACS）」エンドポイントにおいて、署名されていないアサーションを処理する署名検証不備の脆弱性「CVE-2026-1568」が確認されたもの。

「Security Console」を通じて「InsightVM」アカウントがアクセスされ、細工したアサーションを用いて正規ユーザーとして認証されたセッションを取得されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」においてベーススコアは「9.6」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同社では「InsightVM 8.34.0」にて同脆弱性を解消しており、アップデートが呼びかけられている。

（Security NEXT - 2026/02/04 ）ツイート