JVNDB-2026-009491

frigateにおける不正な認証に関する脆弱性

FrigateはIPカメラ向けのリアルタイムローカル物体検知機能を備えたネットワークビデオレコーダー（NVR）です。バージョン0.17.0では、認証された非管理者ユーザーが`/api/config/raw`を通じてFrigateの完全な生設定ファイルを取得できました。これにより、`/api/config`から意図的に伏せられていたカメラの資格情報、go2rtcストリーム資格情報、MQTTパスワード、プロキシの秘密情報、および`config.yml`に保存されているその他の秘密情報が露出しました。これは、管理者デフォルトのAPIリファクタリングによって導入されたアクセス制御の破損であると考えられます。`/api/config/raw_paths`は管理者専用ですが、`/api/config/raw`は依然として認証された任意のユーザーがアクセス可能でした。バージョン0.17.1で修正が含まれています。

frigate

• frigate 0.17.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Authenticated users can read the full unredacted configuration via `/api/config/raw  Advisory  blakeblackshear/frigate  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-33469

1. National Vulnerability Database (NVD) : CVE-2026-33469

• [2026年04月01日]
    掲載