JVNDB-2026-012396 | |
OpenAEVにおけるパスワード管理機能に関する脆弱性 | |
| 概要 | |
OpenAEVは、組織がサイバー攻撃シミュレーションキャンペーンおよびテストを計画、スケジュール、実施するためのオープンソースプラットフォームです。バージョン1.0.0から2.0.13未満のバージョンにおいて、OpenAEVのパスワードリセット機能には複数のセキュリティ上の脆弱性が存在し、これにより確実なアカウント乗っ取りが可能となっています。主な問題は、パスワードリセットトークンの有効期限が設定されていない点です。一度生成されたトークンは、有効期限がなく、時間が経過しても、または同一アカウントに対して新しいトークンが発行されても無期限に有効なまま残ります。これにより攻撃者は有効なパスワードリセットトークンを時間をかけて蓄積し、将来の任意の時点でそれらを再利用して標的のパスワードをリセットできます。副次的な弱点として、パスワードリセットトークンが8桁の数字のみで構成されていることがあります。8桁の数字トークンは1億通りの組み合わせがあり十分なセキュリティが期待されますが、有効なトークンを大量に生成できることで正しいトークンを推測するための試行回数を大幅に減らせます。たとえば、攻撃者が2,000個の有効なトークンを生成した場合、ブルートフォースの試行回数は約5万回に減少し、この回数は自動攻撃で容易に達成可能です（1秒あたり100回のリクエストで500秒以内に有効なパスワードリセットトークンを見つけられます）。これらの欠陥を組み合わせることにより、攻撃者は有効なパスワードリセットトークンを大量に作成して効率的にブルートフォースを行い、一致するトークンを見つけ出して標的のパスワードを任意の値にリセットできます。元のパスワードは不要であり、認証なしで攻撃を実行可能です。この脆弱性により完全なアカウント乗っ取りが可能となり、プラットフォームが侵害されます。認証されていないリモート攻撃者が任意の登録ユーザーアカウントのパスワードをリセットし、認証なしで完全アクセスを取得できます。また、ユーザーのメールアドレスが設計上他のユーザーに公開されているため、一つの推測または観察されたメールアドレスがあれば、非推測可能なメールアドレスを持つ管理者アカウントであっても侵害が可能です。この設計上の欠陥がシステム内の任意の登録ユーザーアカウントに対して信頼性が高くスケーラブルなアカウント乗っ取り脆弱性を引き起こします。なお、この脆弱性にはOpenAEVのメールサービスが設定されている必要はありません。攻撃はターゲットのメールアドレスが実際のメールアドレスである必要もなく、OpenAEVに登録されていれば成立します。攻撃が成功すると、認証されていないリモート攻撃者がシミュレーションのFindingsセクションなどの機密データにアクセスでき、配備されたエージェントによって実行されるペイロードを改変し、エージェントがインストールされた全ホストを侵害可能となるため、影響範囲（Scope）が変更されます。ユーザーはバージョン2.0.13にアップグレードして修正を適用してください。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 9.8 (緊急) [NVD値]
| |
| 影響を受けるシステム | |
|
| |
OpenAEV | |
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 | |
| 想定される影響 | |
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 | |
| 対策 | |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
GitHub | |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
|
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/04/20 |
| 登録日 | 2026/04/24 |
| 最終更新日 | 2026/04/24 |
