JVNDB-2026-005591

joinmastodonのMastodonにおける認証の欠如に関する脆弱性

MastodonはActivityPubに基づく無料のオープンソースのソーシャルネットワークサーバーです。FASPの登録には管理者の手動承認が必要です。バージョン4.4.0から4.4.13および4.5.0から4.5.6の間では、アカウントやコンテンツのライフサイクルイベントへの購読やコンテンツのバックフィル要求を行うFASPの動作が、実際にFASPが承認されているかどうかを適切に確認していませんでした。これは環境変数`EXPERIMENTAL_FEATURES`に`fasp`を含む値を設定して実験的なFASP機能のテストに参加しているMastodonサーバーにのみ影響します。攻撃者は管理者の承認なしに購読やコンテンツのバックフィル要求を行うことが可能です。一回行うだけでも公開されているURIの小さな情報漏洩を引き起こしますが、複数回行うと`fasp`キューを担当するsidekiqワーカーに負荷を与え、深刻なDOS攻撃のベクターとなります。この問題は4.4.14および4.5.7のリリースで修正されています。実験的な「fasp」機能を積極的にテストしている管理者はシステムを更新する必要があります。実験的機能フラグ`fasp`を使用していないサーバーは影響を受けません。

joinmastodon

• Mastodon 4.4.0 以上 4.4.14 未満
• Mastodon 4.5.0 以上 4.5.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Allowing unconfirmed FASP to make subscriptions  Advisory  mastodon/mastodon  GitHub

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-27468

1. National Vulnerability Database (NVD) : CVE-2026-27468
2. 関連文書 : Reject unconfirmed FASPs (#37926)  mastodon/mastodon@6ba6285  GitHub

• [2026年03月02日]
    掲載