エラー追跡ツール「Sentry」に脆弱性 - アカウント乗っ取りのおそれ

アプリケーションのエラー追跡ツール「Sentry」に、任意のユーザーアカウントが乗っ取られるおそれがある深刻な脆弱性が明らかとなった。

「SAML」によるシングルサインオンの実装に問題があり、ユーザーID連携処理において不適切な認証処理が行われる「CVE-2026-27197」が判明したもの。バグ報奨金プログラムを通じて報告を受けたという。

複数組織の利用を許可している場合に、悪意ある「Identity Provider（IdP）」と、同一インスタンス上の別組織を用意することで、メールアドレスを事前に把握している既存ユーザーになりすますことが可能だという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.1」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

オンプレミス版では「同26.2.0」にて脆弱性が修正された。単一組織のみ許可している場合は影響を受けないが、アップデートが推奨されている。SaaS版については、現地時間2026年2月18日に修正済み。

また回避策としてユーザーアカウントにおける二要素認証の設定を挙げている。ただし、管理者側で設定できないため、各ユーザーで有効化されていることを確認する必要がある。

（Security NEXT - 2026/04/20 ）ツイート