JVNDB-2026-028900

Eclipse FoundationのKuraにおける複数の脆弱性

Eclipse Kuraのバージョン5.6.2以前では、監査ログのエントリにおけるクライアントIPアドレスの権威ある情報源として、クライアントが提供するX-Forwarded-For HTTPヘッダーを信頼しています。org.eclipse.kura.web2（Webコンソール）およびorg.eclipse.kura.rest.provider（REST API）コンポーネントは、このヘッダーを監査コンテキスト初期化時の主要なIPソースとして使用しています。また、org.eclipse.kura.jetty.customizerはすべてのHTTP/HTTPSコネクタに無条件でJettyのForwardedRequestCustomizerをインストールするため、HttpServletRequest.getRemoteAddr()が攻撃者によって操作されたヘッダー値を反映してしまいます。認証されていないリモートの攻撃者は、この脆弱性を悪用することで、fail2banのようなIPベースのブルートフォース防御を回避できます。さらに、ログに記録されるIPアドレスをルーティング不能な値に偽装することで、ブルートフォース攻撃を検知されずに継続可能にしたり、被害者のIPアドレスを注入してそのアドレスへのアクセスを禁止させることで、第三者に対するサービス拒否（DoS）を引き起こす恐れがあります。

Eclipse Foundation

• Kura 5.0.0 以上 5.6.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Eclipse Foundation

• GitLab : Eclipse Kura IP Spoofing via X-Forwarded-For Header (#117)  Issue  security/cve-assignment

1. データの信頼性についての不十分な検証(CWE-345) [その他]
2. 信頼性の低い送信元の使用(CWE-348) [その他]
3. セキュリティ決定の信頼できない入力への依存(CWE-807) [その他]

1. CVE-2026-9561

1. National Vulnerability Database (NVD) : CVE-2026-9561

• [2026年08月20日]
    掲載