JVNDB-2026-015810

etcd-ioのetcdにおける不正な認証に関する脆弱性

etcdは分散システムのデータを管理する分散型キーバリューストアです。バージョン3.4.44、3.5.30、および3.6.11より前のetcdには、取引操作内のPutリクエストでのPrevKvを介した読み取りアクセスやリースの添付によってRBAC認可チェックを回避できる脆弱性があります。十分な読み取り権限またはリース関連権限を持たない認証ユーザーが、これらの機能を有効にした取引操作を呼び出すことで、許可されていないデータにアクセスしたりリースを添付したりする可能性があります。この脆弱性はバージョン3.4.44、3.5.30、および3.6.11で修正されています。

etcd-io

• etcd 3.4.44 未満
• etcd 3.5.0 以上 3.5.30 未満
• etcd 3.6.0 以上 3.6.11 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : RBAC authorization bypass in etcd allows unauthorized data access via PrevKv or lease attachment in Put requests nested in transactions  Advisory  etcd-io/etcd  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-44283

1. National Vulnerability Database (NVD) : CVE-2026-44283

• [2026年05月18日]
    掲載