JVNDB-2026-001028

 Signal KのSignal K Serverにおけるスプーフィングによる認証回避に関する脆弱性

Signal K Serverは、船の中央ハブで動作するサーバーアプリケーションです。バージョン2.19.0より前のアクセスリクエストシステムには、情報漏洩の脆弱性と連動し、管理者に対して説得力あるソーシャルエンジニアリング攻撃を可能にする2つの関連機能が存在します。デバイスがアクセスリクエストを作成する際、`clientId`、`description`、`permissions`の3つのフィールドを指定します。Signal K管理者用UIでは、保留中リクエストを表示する際に`description`フィールドが管理者に目立つように表示されますが、実際に付与されるアクセスレベルを決定する`permissions`フィールドは目立たず、場合によっては別画面で表示されます。このため、攻撃者は説明文で「読み取り専用アクセス」を装いながら、実際には`admin`権限をリクエストできます。アクセスリクエストハンドラーは`X-Forwarded-For` HTTPヘッダーを無条件に信頼してクライアントのIPアドレスとして扱っています。このヘッダーは本来リバースプロキシ経由でリクエストされた際に元のクライアントIPを保持する目的ですが、無条件に信頼することで攻撃者によるIPアドレスの偽装を許してしまいます。偽装したIPアドレスは管理者のアクセスリクエスト承認画面に表示されるため、悪意あるリクエストが信頼できる内部ネットワークからのもののように見せかけることが可能です。デバイスやソース名は情報漏洩の脆弱性により列挙が可能となっています。そのため、攻撃者は正規デバイスやソースになりすまし、説得力のある説明文を作成し、信頼された内部IPアドレスを偽装し、高権限のリクエストを送信できます。こうした手法により、非常に巧妙なソーシャルエンジニアリング攻撃シナリオを作り上げ、管理者による承認の可能性を高めてしまいます。ユーザーにはこの問題を修正するバージョン2.19.0へのアップグレードを推奨します。

Signal K

• Signal K Server 2.19.0 未満
• Signal K Server 2.19.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Access Request Spoofing  Advisory  SignalK/signalk-server  GitHub

1. スプーフィングによる認証回避(CWE-290) [その他]

1. CVE-2025-69203

1. National Vulnerability Database (NVD) : CVE-2025-69203
2. 関連文書 : Release v2.19.0  SignalK/signalk-server  GitHub

• [2026年01月08日]
    掲載