「Google Cloud Apigee」にSSRF脆弱性 - トークン漏洩のおそれ

Google Cloudが提供するAPI管理プラットフォーム「Apigee」に、サービスアカウントのアクセストークンが流出する脆弱性が明らかとなった。

サーバサイドリクエストフォージェリ（SSRF）によりサービスアカウントのトークンを窃取されるおそれがある脆弱性「CVE-2026-2264」が明らかとなったもの。

「SetIntegrationRequest」ポリシーにおいて「IntegrationRegion」パラメータの検証が不足していることに起因。

APIプロキシが安全でない構成となっており、フロー変数を制御できることが前提となるが、攻撃者が管理するホストへリクエストを送信させることが可能。同リクエストにはトークンが含まれるという。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.2」だが、Googleでは重要度を「高（High）」とレーティングしている。

「Apigeeハイブリッド」では、「同1.16.1」「同1.15.2」「同1.14.4」へ更新する必要がある。Google Cloud版の「Apigee」では、「1-16-0-apigee-5」にて修正が適用されており利用者側の対応は不要。

（Security NEXT - 2026/05/28 ）ツイート