JVNDB-2026-012944

NetFoundryのzrokにおける複数の脆弱性

zrokはウェブサービス、ファイル、およびネットワークリソースを共有するためのソフトウェアです。バージョン2.0.1以前では、unaccessハンドラー（controller/unaccess.go）に所有権ガードの論理的なエラーがありました。フロントエンドレコードのenvironment_idがNULL（管理者が作成したグローバルフロントエンドのマーカー）の場合、その条件はfalseと評価され、所有権の検証なしに削除が進行してしまいます。グローバルフロントエンドのトークンを知っている非管理者ユーザーは、自身の任意のenvironment IDを使ってDELETE /api/v2/unaccessを呼び出すことで、グローバルフロントエンドを永久に削除でき、それを経由するすべての公開共有の停止を招く可能性があります。バージョン2.0.1でこの問題は修正されました。

NetFoundry

• zrok 2.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Broken ownership check in DELETE /api/v2/unaccess allows non-admin to delete global frontend records  Advisory  openziti/zrok  GitHub

1. 不適切なアクセス制御(CWE-284) [その他]
2. 不正な認証(CWE-863) [その他]

1. CVE-2026-40304

1. National Vulnerability Database (NVD) : CVE-2026-40304
2. 関連文書 : Release v2.0.1  openziti/zrok  GitHub

• [2026年04月27日]
    掲載