JVNDB-2026-011663

ORYのKetoにおけるSQL インジェクションの脆弱性

Ory Ketoは大規模な権限管理のためのオープンソース認可サーバーです。バージョン26.2.0より前のOry Ketoには、GetRelationships APIのページネーション実装に欠陥があり、SQLインジェクションの脆弱性が存在します。ページネーショントークンは`secrets.pagination`で設定された秘密鍵を使用して暗号化されます。この秘密鍵を知っている攻撃者は、SQLインジェクションを引き起こす悪意のあるトークンを含む独自のトークンを作成できます。この設定値が設定されていない場合、Ketoは組み込みのデフォルトのページネーション暗号化秘密鍵にフォールバックします。このデフォルト値は公開されているため、攻撃者は設定されていない環境で有効かつ悪意のあるページネーショントークンを手動で生成できます。この問題は、GetRelationships APIに攻撃者が直接または間接的にアクセスでき、攻撃者が生のページネーショントークンを問題のAPIに渡し、`secrets.pagination`の設定値が設定されていないか攻撃者に知られている場合に悪用されます。攻撃者は偽造されたページネーショントークンを通じて任意のSQLクエリを実行できます。第一の防御策として、暗号学的に安全なランダムな秘密鍵を生成し、すぐに`secrets.pagination`のカスタム値を設定してください。次に、できるだけ早くKetoを修正版の26.2.0以降にアップグレードしてください。

ORY

• Keto 26.2.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SQL injection via forged pagination tokens  Advisory  ory/keto  GitHub

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-33505

1. National Vulnerability Database (NVD) : CVE-2026-33505

• [2026年04月20日]
    掲載