JVNDB-2026-012151

internet routing registry daemon projectのinternet routing registry daemonにおける複数の脆弱性

Internet Routing Registryデーモンバージョン4は、RPSL形式のIRRオブジェクトを処理するIRRデータベースサーバーです。バージョン4.4.0から4.4.5未満、およびバージョン4.5.0から4.5.1未満において、攻撃者はパスワードリセットまたはアカウント作成要求のHTTP Hostヘッダーを操作できます。その結果として送信されるメール内の確認リンクは攻撃者が管理するドメインを指す可能性があります。メール内のリンクを開くだけでトークンが攻撃者に渡り、そのトークンは実際のIRRDインスタンスで使用されてアカウントを乗っ取ることが可能です。乗っ取られたアカウントは、そのアカウントのmntnersが管理するRPSLオブジェクトの変更やその他のアカウント操作に使用されます。ユーザーが二要素認証を設定している場合（上書きアクセス権を持つユーザーに必須）、攻撃者はパスワードリセットに成功してもログインできません。この問題はバージョン4.4.5および4.5.1で修正されました。

internet routing registry daemon project

• internet routing registry daemon 4.4.0 以上 4.4.5 未満
• internet routing registry daemon 4.5.0 以上 4.5.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Host header injection in IRRD web UI allows password reset poisoning via attacker-controlled email links  Advisory  irrdnet/irrd  GitHub

1. オープンリダイレクト(CWE-601) [その他]
2. パスワードを忘れた場合の脆弱なパスワードリカバリの仕組み(CWE-640) [その他]

1. CVE-2026-28681

1. National Vulnerability Database (NVD) : CVE-2026-28681
2. 関連文書 : [4.5.x] Add Host header invalidation and invalidate all pw reset tokens  irrdnet/irrd@cf62df4  GitHub
3. 関連文書 : Release notes for IRRD 4.4.5 - IRRd 4.5.2 documentation
4. 関連文書 : Release notes for IRRD 4.5.1 - IRRd 4.5.2 documentation
5. 関連文書 : [4.4.x] Add Host header invalidation and invalidate all pw reset tokens  irrdnet/irrd@8408e0f  GitHub

• [2026年04月23日]
    掲載