JVNDB-2026-027773 | |
livebookにおける安全でない失敗処理に関する脆弱性 | |
| 概要 | |
livebook-dev の livebook における「安全に失敗しない（フェイリングオープン）」の脆弱性により、認証されていないネットワーククライアントが Livebook Teams によって本人確認が強制されている Livebook サーバーへ完全にアクセスできる可能性があります。Livebook Teams に接続している Livebook エージェントまたはアプリサーバーは、自身が所属するデプロイメントグループの識別子をキャッシュし、リクエストごとにローカルにキャッシュされたデプロイメントグループのリストと照合して、Teams の本人確認強制が有効かどうかを判断しています。lib/livebook/hubs/team_client.ex 内の Livebook.Hubs.TeamClient.handle_call/3 は、解決できなかったデプロイメントグループと本人確認強制が無効になっているグループを区別せず、強制が有効なグループが見つかった場合のみマッチさせ、それ以外はすべて強制が無効であると報告する包括的なケースにフォールスルーします。ユーザーおよびアプリケーションのアクセスを決定する隣接する 2 つの関数は同じ識別子を解決し、解決できなかった結果をアクセス拒否として扱います。本人確認ステータスが無効として報告されると、lib/livebook/zta/livebook_teams.ex 内の Livebook.ZTA.LivebookTeams.authenticate/3 は空の本人確認メタデータを返し、リクエストを停止せずに処理を続行します。LivebookWeb.UserPlug.build_current_user/3 はその空のメタデータを新たに構築されたユーザーにマージします。このユーザーのアクセス種別はデフォルトで完全アクセスとなり、LivebookWeb.AuthPlug.authorized?/1 は完全アクセスを持つ任意のユーザーにアクセスを許可します。このキャッシュされた識別子は、対応するデプロイメントグループが削除され、エージェントがその変更を受信できない状態にある場合、特にエージェントが切断中または再接続中の間にデプロイメントグループが削除されると解決不能になります。クライアントはデプロイメントグループをキャッシュリストから削除しますが、それを参照する識別子はクリアしません。このため、影響を受けるサーバーにネットワーク経由でアクセスできる任意のクライアントは、組織の完全な権限を持つメンバーと同等のアクセス権を取得し、ノートブックや設定済みのシークレットの閲覧、サーバーのランタイム上でのコード実行、運用の妨害を行うことが可能になります。この問題は livebook バージョン 0.19.7 から 0.19.9 未満のバージョンに影響します。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 8.8 (重要) [NVD値]
| |
| 影響を受けるシステム | |
|
| |
livebook | |
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 | |
| 想定される影響 | |
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 | |
| 対策 | |
ベンダ情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
Erlang Ecosystem Foundation | |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/08/05 |
| 登録日 | 2026/08/12 |
| 最終更新日 | 2026/08/12 |
