「OpenBao」に認証関連で複数のクリティカル脆弱性

シークレット管理ツール「OpenBao」において、認証処理に関する複数の脆弱性が確認された。脆弱性を解消したアップデートが提供されている。

「OIDC」または「JWT」認証を有効にしている構成において影響を受ける脆弱性「CVE-2026-33757」「CVE-2026-33758」が明らかとなったもの。いずれも重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

「CVE-2026-33757」は、「OIDC」のコールバックモードを「direct」と設定している場合、ユーザーの確認処理が行われない脆弱性。標的とするユーザーに指定したURLへアクセスさせることで、攻撃者のセッションでログインが可能となる。また攻撃者は認証リクエストを開始後、トークンの発行までポーリングできるという。

一方「CVE-2026-33758」は、認証失敗時に表示される「error_description」パラメータの処理に起因したクロスサイトスクリプティング（XSS）の脆弱性。ターゲットとなったユーザーが細工した認証リクエストにアクセスすると、ウェブユーザーインタフェース上で攻撃者にトークンを窃取されるおそれがある。

CVE番号を採番したGitHubでは、「CVE-2026-33757」について共通脆弱性評価システム「CVSSv3.1」におけるスコアを「9.6」と評価。「CVE-2026-33758」については「CVSSv4.0」で評価しており、「9.4」とした。

開発チームは現地時間2026年3月25日、「OpenBao 2.5.2」をリリースして、複数のバグとともにこれら脆弱性を修正した。あわせて回避策をアナウンスされている。

（Security NEXT - 2026/03/30 ）ツイート

「OpenBao」に認証関連で複数のクリティカル脆弱性

関連リンク

PR

関連記事