JVNDB-2026-009249

etcd-ioのetcdにおける認証の欠如に関する脆弱性

etcdは分散システムのデータ用の分散型キーバリューストアです。バージョン3.4.42、3.5.28、および3.6.9より前のバージョンには、認証または認可チェックをバイパスし、信頼されていないまたは部分的に信頼されたクライアントにgRPC APIを公開しているクラスター内で特定のetcd関数を呼び出すことができる未承認ユーザーが存在します。etcd認証が有効な未修正のetcdクラスターにおいて、未承認ユーザーはMemberListを呼び出してメンバーIDや広告されたエンドポイントを含むクラスタートポロジーを把握したり、運用妨害やサービス拒否の悪用が可能なAlarmを呼び出したり、TTLベースのキーやリース所有権に干渉するLease APIを使用したり、および履歴改訂を永久に削除してウォッチ、監査、復旧ワークフローを妨害するコンパクションをトリガーしたりできます。Kubernetesはetcdの組み込み認証と認可に依存せず、APIサーバー自身が認証と認可を処理するため、一般的なKubernetesの導入は影響を受けません。バージョン3.4.42、3.5.28、および3.6.9には修正パッチが含まれています。すぐにアップグレードできない場合は、影響を受けるRPCを事実上認証なしで扱うことで露出を減らしてください。etcdサーバーポートへのネットワークアクセスを制限し、信頼できるコンポーネントのみが接続できるようにするか、mTLSなどの範囲を厳密に限定したクライアント証明書配布による強力なクライアント識別をトランスポート層で要求してください。

etcd-io

• etcd 3.4.42 未満
• etcd 3.5.0 以上 3.5.28 未満
• etcd 3.6.0 以上 3.6.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Authorization bypasses in multiple APIs  Advisory  etcd-io/etcd  GitHub

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-33413

1. National Vulnerability Database (NVD) : CVE-2026-33413

• [2026年03月31日]
    掲載