JVNDB-2026-015901

Espressif SystemsのESP32 Arduinoにおける認証に関する脆弱性

arduino-esp32はESP32、ESP32-S2、ESP32-S3、ESP32-C3、ESP32-C6およびESP32-H2マイクロコントローラー用のArduinoコアです。バージョン3.3.8以前では、arduino-esp32のWebServer Digest認証実装がクライアントのAuthorizationヘッダーのURIフィールドを用いて認証ハッシュを計算しており、実際に要求されたURIと一致するかどうかを確認していませんでした。このため、有効なDigestレスポンス（URI-Aに対して計算されたもの）を持つ攻撃者が、まったく異なる保護されたURI（URI-B）へのリクエストを認証し、リソースごとのアクセス制御をバイパスできる状態でした。この脆弱性はバージョン3.3.8で修正されています。

Espressif Systems

• ESP32 Arduino 3.3.8 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Digest authentication URI mismatch bypass in WebServer allows cross-resource replay attack  Advisory  espressif/arduino-esp32  GitHub

1. 不適切な認証(CWE-287) [その他]
2. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-42855

1. National Vulnerability Database (NVD) : CVE-2026-42855

• [2026年05月18日]
    掲載