JVNDB-2026-015817

Daniel GarciaのVaultwardenにおける認可に関する脆弱性

VaultwardenはRustで書かれたBitwarden互換のサーバーです。バージョン1.35.5以前では、groups_users.users_organizations_uuidエントリがgroups.groups_uuidと同じ組織に属しているか、またはcollections_groups.collections_uuidエントリがcollections_groups.groups_uuidと同じ組織に属しているかを強制していません。複数の組織グループ管理エンドポイントは、任意のMembershipIdおよびCollectionIdの値を受け入れ、組織の整合性を検証せずにそれらを直接永続化します。これにより、組織Aで管理者権限を持ち、組織Bでは低権限メンバーである攻撃者が、自身の組織BメンバーシップUUIDを組織Aのグループに結び付け、その外部のグループ関係を利用して組織Bのボールトデータへの不正アクセスを得ることが可能になります。accessAll=trueの組織Aグループを使用すると、攻撃者は/api/syncおよび/api/ciphersで組織Bの暗号情報を列挙できます。不正な同期結果で組織BのコレクションIDが判明すると、攻撃者はそれらの外部コレクションIDを組織Aグループに結び付け、この脆弱性を利用して組織Bのアイテムに対する書き込みアクセス権を得ることも可能になります。この脆弱性はバージョン1.35.5で修正されました。

Daniel Garcia

• Vaultwarden 1.35.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Cross-Org Group Binding Enables Unauthorized Read And Write Access Into Another Organization  Advisory  dani-garcia/vaultwarden  GitHub

1. 不適切な認可(CWE-285) [その他]

1. CVE-2026-43912

1. National Vulnerability Database (NVD) : CVE-2026-43912

• [2026年05月18日]
    掲載