JVNDB-2026-023018

Coderにおける不正な認証に関する脆弱性

Coder は、Terraform を介して組織がリモート開発環境をプロビジョニングできるようにします。バージョン 2.30.0 から 2.32.7、2.33.8、および 2.34.2 より前のバージョンでは、AI Bridge プロキシエンドポイントが `coderd/aibridgedserver` 内の `Server.IsAuthorized` を通じて認証を行います。これはキーの形式、有効期限、秘密情報、削除済みまたはシステムユーザーかどうかを検証しますが、アカウントが停止されているかどうかは確認しません。停止は既存の API キーを無効にしません。そのため、停止されたユーザーの未期限切れトークンは有効なままです。実際の影響は、停止されたユーザーのすでに発行済みの API キーが削除されるまでに限定されます。バージョン 2.32.7、2.33.8、および 2.34.2 でこの問題は修正されています。回避策として、停止時に `DELETE /api/v2/users/{user}/keys` を使い、ユーザーの API キーを削除してください。

Coder

• Coder 2.30.0 以上 2.32.7 未満
• Coder 2.33.0 以上 2.33.8 未満
• Coder 2.34.0 以上 2.34.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Suspended users retain access to AI Bridge LLM proxy endpoints  Advisory  coder/coder  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-55435

1. National Vulnerability Database (NVD) : CVE-2026-55435
2. 関連文書 : fix: add max bytes request limit to aibridge by pawbana  Pull Request #26164  coder/coder  GitHub
3. 関連文書 : Release v2.33.8 [SECURITY]  coder/coder  GitHub
4. 関連文書 : fix: check user user is active in aibridge auth by pawbana  Pull Request #26173  coder/coder  GitHub
5. 関連文書 : Release v2.32.7 [SECURITY]  coder/coder  GitHub
6. 関連文書 : fix: check user user is active in aibridge auth (#26173)  coder/coder@0d2c9f9  GitHub
7. 関連文書 : Release v2.34.2 [SECURITY]  coder/coder  GitHub

• [2026年07月10日]
    掲載