OpsTree REMSに認証回避の脆弱性、修正版は未確認
OpsTree REMSの1.0.0以前に、パスワードが誤っていても管理者としてログインできてしまう認証回避の脆弱性があります。REMSを稼働させている組織は、版と公開範囲を今日中に確認し、アクセス元の制限を先に済ませてください。
急ぎ度: 至急
CVSS v3は9.8、v4は9.3で、認証なしにネットワーク経由で管理者権限を取られる脆弱性であり、検証コードへの参照も公開されている一方、修正版の版番号は確認できていません。
関係があるか
OpsTree SolutionsのAIOps・オブザーバビリティ基盤REMSを、自社で運用している組織が対象です。ログインのAPIにネットワーク上で到達できる環境ほど、リスクが高くなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| OpsTree Solutions REMS | 1.0.0以前（<= 1.0.0） | 修正版の版番号は未確認です。OpsTreeの製品ページと告知で確認してください。 |
確かめ方
- 1社内でREMSを導入したチームに、稼働中の環境（本番・検証・開発）と版を一覧にしてもらいます。
- 2管理画面の表示、導入時のマニフェスト、コンテナイメージのタグのいずれかで、版が1.0.0以下かを見ます。
- 3REMSのログインAPIに、インターネット、取引先、社内の広い範囲のどこから到達できるかを、ロードバランサーやファイアウォールの設定で確認します。
- 4REMSの認証ログで、管理者アカウントのログインが、普段使わない接続元や時間帯に成功していないかを調べます。
何が起きたか
OpsTree REMSの1.0.0以前では、管理者アカウントのパスワードが間違っていても、管理者権限（SuperUser）で使えるJWTが発行されてしまいます。JWTはログイン後にAPIを呼ぶための通行証で、これを手にした側は管理者として操作できます。
原因は、ログイン要求に含まれる is_local_auth という項目を、クライアント側が自由に指定できることです。サーバーがこの項目を信用して認証の判断に使うため、パスワード検証が意味をなさなくなります。分類はCWE-287（不適切な認証）です。
脆弱性は2026年11月11日に公表され、発見者としてNeel Saurabh Kotnisの名前が挙がっています。公開された検証コードへの参照も付いているため、攻撃の手口は広く知られやすい状況です。
攻撃の流れ
-
1
ログインAPIに到達
攻撃者がREMSのログイン用APIにネットワーク経由でアクセスします。
-
2
認証方式を指定
ログイン要求の中で、クライアントが指定できる認証方式の項目を操作します。
-
3
JWTが発行される
管理者アカウントのパスワードが誤っていても、サーバーが有効なJWTを返します。
-
4
管理者として操作
取得したJWTで、SuperUserとしてREMSの管理機能を使います。
どう悪用されるか
悪用に必要なのは、REMSのログインAPIへのネットワーク経由の到達だけです。事前のアカウントや利用者の操作は要らず、特別な条件も要りません。CVSSの評価も、ネットワークから、低い難度で、認証なし、利用者の操作なしとなっています。
成功すると、SuperUserとして管理操作ができます。機密性・完全性・可用性のいずれにも高い影響があるとされ、REMSが集めている監視データの閲覧、設定の書き換え、サービスの停止まで想定する必要があります。
今すぐやること
-
1
REMSの稼働環境と版を洗い出す
本番だけでなく、検証・開発・PoCで立てたものも含めます。1.0.0以前が見つかった環境を、対応の優先順位の先頭に置きます。
-
2
ログインAPIへのアクセス元を絞る
インターネットや広い社内ネットワークから到達できるなら、まず管理用ネットワークやVPNなど必要な接続元だけに制限します。修正版の確認より先に済ませてください。
-
3
ベンダーの告知で修正版と回避策を確認する
OpsTreeの製品ページと告知で、修正版の有無、版番号、公式の回避策を確認します。修正版が出ていれば、検証環境で動作を確かめたうえで本番に更新します。
-
4
管理者の利用履歴を点検する
公表は11月11日ですが、それ以前に悪用されていた可能性は否定できません。管理者アカウントのログイン成功の記録、設定変更、ランブックの実行履歴に心当たりのないものがないかを調べます。不審な点があれば、管理者の資格情報とJWTの署名鍵の入れ替えも検討してください。
修正版がないあいだのつなぎ
修正版を当てられないときは、REMSの管理画面とAPIを、VPNや踏み台経由の限られた接続元からだけ使えるようにします。リバースプロキシやファイアウォールで接続元IPを許可制にし、外部への公開は止めます。これは侵入口を狭めるつなぎで、脆弱性そのものは残ります。修正版を適用できるまでの間は、管理者アカウントのログインを監視してください。
背景
REMSは、OpsTreeが提供するAIを使った可観測性とAIOpsの基盤です。製品ページによると、Prometheus、Loki、Tempo、OpenTelemetryといった既存のオープンソースの監視基盤の上に載り、収集したメトリクス・ログ・トレースから障害の原因を診断し、対応手順の実行までつなげる位置づけです。そのため管理者権限は、システムの状態を広く見渡せる立場に当たります。
今回の問題は、認証の可否に、利用者側が送る項目が影響してしまう点にあります。ログインの方式やローカル認証かどうかといった判断は、本来サーバー側の設定で決めるものです。それをリクエストの値で切り替えられると、パスワードの強さや定期変更といった運用上の対策が働かなくなります。
よくある質問
Q.JWTを失効させたり、管理者のパスワードを変えたりすれば防げますか。
Q.社内ネットワークからしか見えない環境なら、急がなくてよいでしょうか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| OpsTree SolutionsREMS |
1.0.0 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
OpsTree REMS through 1.0.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to obtain valid JWTs by setting the client-controlled is_local_auth field. Attackers can send a POST /api/v1/user/login/ request for the admin account with an invalid password and is_local_auth true to gain SuperUser administrative access.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web opstree.com
- web github.com