JVNDB-2026-027774

livebookにおけるクロスサイトリクエストフォージェリの脆弱性

livebook-devのlivebookにおけるクロスサイトリクエストフォージェリ（CSRF）脆弱性により、攻撃者は被害者のブラウザセッションを攻撃者自身のLivebook TeamsのIDで認証させることが可能です。LivebookがLivebook Teamsをアイデンティティとして使用するよう設定されている場合、lib/livebook/zta/livebook_teams.ex内のLivebook.ZTA.LivebookTeams.handle_request/4がteams_identityマーカーとcodeパラメータを持つOAuthスタイルのコールバックを処理します。この節では、そのコードをアクセストークンと交換し、ログインを開始したブラウザセッションに結びつける値の検証を行わずにセッショントークンを書き込みます。ログインフロー開始時にstateやnonceは生成されず、lib/livebook/teams/requests.exのLivebook.Teams.Requests.create_auth_request/1は空のリクエストボディを送信するため、試行ごとの値は登録されず、コールバックの節では比較対象となる値が存在しません。同じLivebook Teams組織のメンバーである攻撃者は、自身でログインフローを開始して発行された認可コードを使用せずに保持し、そのコードを含む巧妙に作成されたURLを被害者に開かせることができます。被害者のブラウザが認可コード交換を完了すると、そのセッションは被害者ではなく攻撃者のIDに紐付けられます。被害者は特別な権限を持つ必要はなく、その被害者の資格情報も関与しません。この脆弱性により攻撃者が被害者として認証できるわけではありません。結果として、ユーザーは自身の認証済みセッションで作業していると信じていますが、実際には異なるIDで操作を行っています。そのセッションで行った作業は攻撃者のアカウントに帰属し、被害者が作成した秘密情報、アップロードしたデータ、ノートブックの結果などは被害者のアカウントではなく攻撃者にさらされます。認可コードはログインフロー開始後の短い期間内に引き換えられる必要があるため、攻撃のタイミングは制限されますが、実行可能性が損なわれることはありません。この問題はlivebookのバージョン0.15.0から0.18.7未満および0.19.0から0.19.9未満に影響を及ぼします。

livebook

• livebook 0.15.0 以上 0.18.7 未満
• livebook 0.19.0 以上 0.19.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-66885

GitHub

• GitHub : Livebook Teams Identity OAuth-style callback has no state/nonce binding, enabling login CSRF  Advisory  livebook-dev/livebook  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-66885 - OSV

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2026-66885

1. National Vulnerability Database (NVD) : CVE-2026-66885
2. 関連文書 : Validate state in Teams identity callback to prevent login CSRF  livebook-dev/livebook@33a052d  GitHub
3. 関連文書 : Validate state in Teams identity callback to prevent login CSRF  livebook-dev/livebook@6ed2e21  GitHub
4. 関連文書 : Validate state in Teams identity callback to prevent login CSRF  livebook-dev/livebook@21c1616  GitHub

• [2026年08月12日]
    掲載