「Cloud Foundry UAA」にEC秘密鍵情報が漏洩するおそれ

「Cloud Foundry」で利用される認証認可コンポーネント「Cloud Foundry UAA」に深刻な脆弱性が明らかとなった。

楕円曲線暗号（ECC）の秘密鍵に関する構成要素が漏洩する脆弱性「CVE-2026-40965」が確認されたもの。JWT署名に「EC鍵」を利用する構成のみが対象になるとしており、「RSA鍵」を利用する構成は影響を受けない。

公開エンドポイントでは、「JWTトークン」の検証にあたり公開鍵情報を提供するが、サーバ側の処理に不備があり、秘密鍵に関する構成要素をJSONレスポンスに含めてしまうという。

共通脆弱性評価システム「CVSSv4.0」「CVSSv3.1」のベーススコアはいずれも最高値である「10.0」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

Cloud Foundryプロジェクトでは、脆弱性を解消した「Cloud Foundry UAA 78.13.0」以降や、同バージョンが同梱されている「CF Deployment 56.1.0」以降へアップデートするよう求めている。

（Security NEXT - 2026/06/02 ）ツイート