JVNDB-2026-010403

ORYのHydraにおけるSQL インジェクションの脆弱性

Ory HydraはOAuth 2.0サーバーおよびOpenID Connectプロバイダーです。バージョン26.2.0以前のOry Hydraには、listOAuth2Clients、listOAuth2ConsentSessions、およびlistTrustedOAuth2JwtGrantIssuersの管理者APIにおいて、ページネーションの実装に欠陥があり、SQLインジェクションの脆弱性が存在します。ページネーショントークンは`secrets.pagination`に設定された秘密情報で暗号化されます。この値が設定されていない場合、Hydraは`secrets.system`を使用します。攻撃者がこの秘密を知っている場合には、自身でトークンを作成でき、悪意のあるトークンによってSQLインジェクションを引き起こすことが可能です。この問題は、前述の管理者APIのいずれかが攻撃者から直接または間接的にアクセス可能であり、攻撃者が生のページネーショントークンを対象APIに渡せること、さらに`secrets.pagination`が設定されていて攻撃者がそれを知っている場合、または設定されていない場合は`secrets.system`を攻撃者が知っているときに悪用されます。攻撃者は偽造したページネーショントークンを通じて任意のSQLクエリを実行できます。第一の防御策として、暗号学的に安全なランダムな秘密情報を生成し、`secrets.pagination`にカスタム値を直ちに設定してください。次に、Hydraを早急に修正済みのバージョン26.2.0にアップグレードしてください。

ORY

• Hydra 26.2.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SQL injection via forged pagination tokens  Advisory  ory/hydra  GitHub

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-33504

1. National Vulnerability Database (NVD) : CVE-2026-33504

• [2026年04月09日]
    掲載