JVNDB-2026-013540

oauth2_proxy projectのoauth2_proxyにおける代替パスまたはチャネルを使用した認証回避に関する脆弱性

OAuth2 ProxyはOAuth2プロバイダーを使用して認証を提供するリバースプロキシです。バージョン7.5.0から7.15.1までに、設定に依存した認証バイパスの脆弱性が存在します。以下のすべての条件が当てはまる場合に、この展開は影響を受けます。具体的には、`skip_auth_routes`またはレガシーの`skip_auth_regex`を使用していること、攻撃者によって拡張可能なパターン（例：`^/foo/.*/bar$`が`/foo/secret`を露出させる可能性があります）を利用していること、そして`#`をフラグメント区切り文字として解釈するか、リクエストを保護されたベースパスにルーティングする保護されたアップストリームアプリケーションが存在することです。これらの設定に依存する環境では、未認証の攻撃者がパスに番号記号（`#`）またはブラウザで安全にエンコードされた`%23`を含む細工されたリクエストを送信することで、OAuth2 Proxyは公開許可リストのルールにマッチしますが、バックエンドが保護されたリソースを誤って提供してしまう可能性があります。これらのスキップ認証オプションを使用せず、正確な公開パスのみを厳密にメソッドとパスルールで許可している環境は影響を受けません。バージョン7.15.2ではリクエストパスの正規化がより保守的に改善され、スキップ認証マッチングの前にフラグメント部分が許可リストの判断に影響しないよう修正が実装されました。すぐにアップグレードできないユーザーは、特にパスセグメントに広範なワイルドカードを使用するパターンにおいて、`skip_auth_routes`および`skip_auth_regex`のルールを厳格化または削除することで露出を減らせます。推奨される緩和策としては、広範なルールを正確かつアンカー付きの公開パスと明示的なHTTPメソッドに置き換えること、イングレスやロードバランサー、WAFレベルでパスに`%23`または`#`を含むリクエストを拒否すること、また広範な`skip_auth_routes`ルールの背後に機密性の高いアプリケーションパスを配置しないことなどがあります。

oauth2_proxy project

• oauth2_proxy 7.5.0 以上 7.15.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Authentication Bypass via Fragment Confusion in skip_auth_routes and skip_auth_regex  Advisory  oauth2-proxy/oauth2-proxy  GitHub

1. 代替パスまたはチャネルを使用した認証回避(CWE-288) [その他]

1. CVE-2026-41059

1. National Vulnerability Database (NVD) : CVE-2026-41059

• [2026年04月30日]
    掲載