JVNDB-2026-007773

Runtipiにおける複数の脆弱性

Runtipiはパーソナルホームサーバーオーケストレーターです。バージョン4.8.1以前のRuntipiの/api/auth/verify-totpエンドポイントでは、レート制限、試行回数のカウント、およびアカウントロックアウト機構が実施されていませんでした。有効なユーザー認証情報（フィッシング、クレデンシャルスタッフィング、データ漏洩などで取得した場合）を持つ攻撃者は、6桁のTOTPコードをブルートフォースで突破し、二要素認証を完全に回避できます。TOTPの検証セッションは24時間（デフォルトのキャッシュTTL）継続し、1000000通り（000000から999999）のコード空間を使い果たすための過剰な時間的余裕を提供します。実際のリクエストレート（約500リクエスト/秒）では、最悪の場合でも攻撃が約33分で完了します。この脆弱性はバージョン4.8.1で修正されました。

Runtipi

• Runtipi 4.8.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : TOTP two-factor authentication bypass via unrestricted brute-force on `/api/auth/verify-totp`  Advisory  runtipi/runtipi  GitHub

1. 過度な認証試行の不適切な制限(CWE-307) [その他]
2. インタラクション頻度の不適切な制御(CWE-799) [その他]

1. CVE-2026-32729

1. National Vulnerability Database (NVD) : CVE-2026-32729

• [2026年03月19日]
    掲載