Eclipse ioFog OperatorにTLS検証不備の脆弱性、3.9.2で修正
Eclipse ioFog Operatorの3.8.0以上3.9.2未満に、通信相手の証明書を確認しない脆弱性が見つかりました。通信経路に入り込まれると、管理用の資格情報を盗まれ、偽のトークンを差し込まれるおそれがあります。該当する環境では3.9.2に更新し、資格情報の入れ替えも検討してください。
急ぎ度: 早めに
CVSS v4は9.1と高く修正版3.9.2も出ていますが、悪用には通信経路上に入る必要があるため、至急ではなく早めの更新が妥当です。
関係があるか
Eclipse ioFog Operatorの3.8.0以上3.9.2未満を使い、OperatorからController APIや外部のOIDC発行元へ通信している組織が対象です。外部OIDC連携の構成と、ControllerのHTTPSを有効にした組み込み構成では、盗まれる資格情報が特定されています。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Eclipse ioFog Operator | 3.8.0以上3.9.2未満 | 3.9.2 |
確かめ方
- 1Operatorのコンテナイメージのタグが3.8.0から3.9.1のいずれかに当たらないかを確認する。
- 2外部のOIDC発行元と連携しているか、Controllerを組み込みで動かしてHTTPSを有効にしているかを確認する。該当すれば、盗まれる資格情報の種類が決まる。
- 3ほかの版や構成でも、Operatorの版が範囲内であれば更新の対象として扱う。
何が起きたか
Eclipse ioFog Operatorが、Controller APIや外部のOIDC発行元と通信するとき、相手のTLS証明書を検証していませんでした。通信経路の途中にいる攻撃者は、どんな証明書を示しても相手として受け入れられます。
このため、外部のOIDC連携ではOAuthクライアントシークレットが、ControllerのHTTPSを有効にした組み込み構成ではControllerの初期管理者パスワードが、通信から読み取られるおそれがあります。さらに、Operatorが保存して以後のController API呼び出しに使うアクセストークンも、攻撃者が用意したものに差し替えられます。
報告はEclipse Foundationの脆弱性報告窓口に寄せられ、CVE-2026-115216として2026年10月27日に公表されました。弱点の種類はCWE-295（証明書検証の不備）です。
攻撃の流れ
-
1
経路に介入
攻撃者がOperatorと通信相手の間のネットワーク経路に入り込みます。
-
2
偽証明書で応答
Operatorは証明書を検証しないため、偽の証明書を示した相手をそのまま信用します。
-
3
資格情報の漏えい
OAuthクライアントシークレットまたは初期管理者パスワードが攻撃者に渡ります。
-
4
トークン差し替え
Operatorが以後のController API呼び出しに使うアクセストークンを、攻撃者が供給できます。
どう悪用されるか
悪用に認証や利用者の操作は要りません。必要なのは、OperatorとController API、またはOperatorと外部OIDC発行元のあいだの通信経路に、攻撃者が割り込める位置にいることです。CVSS v4のベクターでも、ネットワーク経由で複雑な条件は無く、ただし攻撃に特定の前提（経路上の位置）が要る形で評価されています。
成功した場合、機密性への影響が大きく、盗まれた資格情報でControllerやOIDC発行元に接続される危険があります。差し替えたトークンを通じて、Controllerとの連携そのものが攻撃者の管理下に置かれることも考えられます。接続先の別システムにも影響が及ぶと評価されているため、ioFogの外まで被害が広がる前提で見ておくと安全です。
今すぐやること
-
1
使用中のOperatorの版を確認する
デプロイされているOperatorのイメージタグを見て、3.8.0以上3.9.2未満かどうかを確認します。コマンドはKubernetes上で動かしている場合の例です。IMAGES列からOperatorのタグを探してください。
kubectl get deployments --all-namespaces -o wide -
2
Operatorを3.9.2に更新する
修正版の3.9.2に更新します。更新後は、Controller APIと外部OIDC発行元への接続が引き続き正常にできるかを確認します。
-
3
盗まれた可能性のある資格情報を入れ替える
外部OIDC連携ではOAuthクライアントシークレットを、HTTPSを有効にした組み込み構成ではControllerの初期管理者パスワードを再発行します。脆弱な版を動かしていた期間に、信頼できない経路を通っていた可能性があれば優先して行います。
-
4
Controllerの操作履歴を見直す
脆弱な版を使っていた期間のController API呼び出しと認証ログに、身に覚えのない操作やログインがないかを確認します。
すぐ更新できないとき
更新がすぐにできない場合は、OperatorからControllerやOIDC発行元までの通信を、第三者が割り込めない閉じたネットワークの中に限る形で暫定的に守ります。ただし、証明書検証の不備そのものはこの方法では解消しないため、3.9.2への更新までのつなぎにとどめてください。
背景
Eclipse ioFogは、エッジ側の機器に載せるアプリケーションをまとめて配備・管理するためのオープンソースの基盤です。OperatorはControllerの展開と運用を担い、Controller APIの呼び出しや外部OIDC発行元へのログインに使う資格情報とトークンを保持します。通信の相手を確認せずにそれらをやり取りすると、盗む価値の高い情報がそのまま経路に流れます。
TLS証明書の検証の不備は、CWE-295として分類される古くからの問題で、経路上に割り込む攻撃を許す典型的な形です。今回のOperatorでは、ioFog 3.8でKeycloakが取り除かれた後の認証まわりが対象になりました。外部OIDCと組み込みControllerの両方の経路で、検証が無効になっていたことが問題です。
よくある質問
Q.以前使っていたKeycloakの管理者権限も奪われますか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは公表されていません。最新の状況は、Eclipse Foundationの脆弱性報告とiofog-operatorのリリースノートで確認してください。
- ベンダーが推奨する暫定的な回避策や、構成ごとの詳しい影響の違いは公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Eclipse Foundation | Eclipse ioFog |
3.8.0 以上 3.9.2 未満 |
3.9.2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
In Eclipse ioFog Operator versions 3.8.0 before 3.9.2, TLS certificate verification is disabled when the operator contacts the Controller API and when it logs in to an external OIDC issuer. An on-path attacker can present any certificate, capture the OAuth client secret (external mode) or the Controller bootstrap admin password (embedded mode with Controller HTTPS enabled), and supply the access token the operator stores for later Controller API calls. v3.8 removed Keycloak. The exposed credential is not a Keycloak realm-admin secret.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory nvd.nist.gov
- advisory github.com
- web gitlab.eclipse.org
- web gitlab.eclipse.org
- web github.com
- web github.com