JVNDB-2026-002605

Arcaneにおける重要な機能に対する認証の欠如に関する脆弱性

ArcaneはDockerコンテナ、イメージ、ネットワーク、およびボリュームを管理するためのインターフェースです。バージョン1.13.2以前では、認証されていないリクエストがリモート環境エージェントにプロキシされ、認証なしでリモート環境のリソースにアクセスできる問題がありました。環境プロキシのミドルウェアは、認証が強制される前にリモート環境向けの`/api/environments/{id}/...`リクエストを処理していました。環境IDがローカルでない場合、ミドルウェアはリクエストをプロキシし、呼び出し元が未認証であってもマネージャーが保持するエージェントトークンを付加していました。これにより、認証されていない攻撃者がリモート環境の操作（例：コンテナの一覧表示、ログのストリーミング、その他のエージェントエンドポイント）にアクセスおよび操作できる状態になっていました。認証されていない攻撃者がプロキシを介してリモート環境のリソースにアクセス・操作することで、データ漏洩、無許可の変更、サービス障害が発生する可能性があります。バージョン1.13.2でこの脆弱性は修正されました。

Arcane

• Arcane 1.13.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Unauthenticated proxy access to remote environments  Advisory  getarcaneapp/arcane  GitHub
• Pull requests : fix: apply auth check before proxying request to environments by kmendell  Pull Request #1532  getarcaneapp/arcane  GitHub

1. 重要な機能に対する認証の欠如(CWE-306) [その他]

1. CVE-2026-23944

1. National Vulnerability Database (NVD) : CVE-2026-23944
2. 関連文書 : Release v1.13.2  getarcaneapp/arcane  GitHub
3. 関連文書 : fix(GHSA-2jv8-39rp-cqqr): apply auth check before proxying request to…  getarcaneapp/arcane@2008e1b  GitHub

• [2026年02月04日]
    掲載