SOGoのパスワード回復に脆弱性、修正版5.12.13あり
グループウェアSOGoのパスワード回復機能に、認証なしで答えを総当たりされ、アカウントを乗っ取られる脆弱性が公表されました。5.12.13より前を使う組織は、修正版への更新と、TOTP未設定のアカウントの洗い出しを進めてください。
同じ発表の脆弱性 2 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-127111 高 9.1
- CVE-2026-127131 高 9.1
急ぎ度: 早めに
CVSS v3は7.4、v4は9.1で、認証なしにネットワーク越しでアカウントを奪われるおそれがあり、修正版の5.12.13も公開済みのため、早めの更新が妥当です。
関係があるか
SOGoをWebメールや予定表として運用し、そのWeb画面にネットワーク越しで届く環境が対象です。社外に公開している構成はとくに優先度が高くなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SOGo（Alinto） | 5.12.13より前のすべての版 | 5.12.13 |
確かめ方
- 1サーバーに入っているSOGoの版を、パッケージ管理のコマンドで確認します。5.12.13より前なら対象です。
- 2OS配布元のパッケージで導入している場合は、配布元が出している版を確認します。配布元ごとに版の付き方や修正の入り方が違うためです。
- 3TOTP（ワンタイムパスワード）を設定していないアカウントが、乗っ取りの対象になります。ユーザーごとの設定状況を洗い出します。
何が起きたか
SOGoのパスワード回復機能は、ログイン前の状態から、秘密の質問の答えを何度でも試せる仕組みになっていました。答えを当てられると、本人のパスワードを書き換えられ、アカウントを奪われます。
原因は、回答を受け付けるpasswordRecoveryCheckエンドポイントに、ロックアウトも回数制限もないことです。分類はCWE-307（認証試行の過剰な許可）です。答えが当たるとパスワード回復用のJWTが発行され、それを使うと旧パスワードなしで新しいパスワードを設定できます。その後、connectエンドポイントからログインされます。
修正版は2026年11月4日に公開済みで、脆弱性情報は11月12日に公表されました。発見者はRichard Olszynskýで、VulnCheckが調整しています。
攻撃の流れ
-
1
回答を総当たり
認証なしで、秘密の質問の答えの候補を回数制限なしに送り続けます。
-
2
回復用JWT取得
答えが当たると、パスワード回復用のJWTが発行されます。
-
3
パスワード変更
旧パスワードを知らなくても、新しいパスワードを設定されます。
-
4
ログインして奪取
新しいパスワードでログインされ、アカウントを完全に奪われます。
どう悪用されるか
攻撃者に必要なのは、SOGoのWeb画面へネットワーク越しに届くことだけです。事前のログインも、利用者に何かをさせる操作も要りません。ただし、乗っ取りが成立するのはTOTPを有効にしていないアカウントです。CVSSでは、攻撃の難度は高く、成立に前提条件があるという評価になっています。
成功すると、そのアカウントのメール・予定表・連絡先を読まれ、書き換えられるおそれがあります。CVSS v3でも機密性と完全性の影響が「高」で、可用性への影響はありません。本人はパスワードを変えられて、ログインできなくなります。
秘密の質問は、答えの候補がもともと絞られやすい仕組みです。回数制限がなければ、現実的な時間で当たる場合があると見ておくのが無難でしょう。
今すぐやること
-
1
導入しているSOGoの版を確認する
5.12.13より前なら対象です。複数台ある場合は、台数分の版をまとめて洗い出します。
rpm -q sogo -
2
5.12.13以降へ更新する
修正版へ更新するのが根本的な対処です。OS配布元のパッケージを使っている場合は、配布元が修正版を出しているかを確認してから適用します。更新後は、パスワード回復の画面が動くことと、通常のログインに支障がないことを確かめます。
-
3
更新前の期間に侵害の跡がないか調べる
Webサーバーやリバースプロキシのログで、passwordRecoveryCheckへの同じ送信元からの大量のリクエストを探します。心当たりのないパスワード変更や、見覚えのない場所からのログインがあれば、該当アカウントのパスワードを再設定し、メールの転送設定や自動振り分けも見直します。
-
4
TOTPの利用を広げる
乗っ取りが成立するのはTOTP未設定のアカウントです。更新が済むまでのつなぎとしても、更新後の備えとしても、全ユーザーにTOTPを設定してもらうのが有効です。
すぐ更新できないとき
すぐに更新できないときは、TOTPを全アカウントで有効にしてください。あわせて、リバースプロキシやWAFで、passwordRecoveryCheckへのリクエストに回数制限をかけるか、接続元を社内ネットワークに絞ります。これらはSOGoの告知に書かれた回避策ではなく、攻撃の条件から考えたつなぎの対策です。修正版の適用を置き換えるものではありません。
背景
SOGoはAlintoが開発するオープンソースのグループウェアで、IMAPやLDAPの既存基盤の上に、Webメール・予定表・連絡先の画面を載せる使い方が多くあります。ログイン画面がそのまま社外に公開されている組織も少なくありません。アカウントを奪われると、メールの内容だけでなく、予定表や連絡先から取引先や社内の動きも読まれます。
秘密の質問によるパスワード回復は、答えが推測されやすく、回数制限がなければ総当たりに弱いことが知られています。NISTのガイドラインも、秘密の質問のような知識ベースの認証を、認証手段として使わないとしています。今回の脆弱性は、その弱さに加えて、試行回数の制限が抜けていたことが原因です。
よくある質問
Q.5.12.13で、ほかの脆弱性も直りますか。
まだ分かっていないこと
- 5.12.13の告知に挙がっているほかの脆弱性は、告知の時点でCVE番号が付いていません。本件との対応関係は示されていません。
- 修正版以外の公式な回避策は示されていません。
- パスワード回復機能が既定で有効か、設定で無効にできるかは、公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Alintosogo |
5.12.13 未満→ 5.12.13 |
5.12.13 |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の記録です。修正版は配布版ごとに違うので、リンク先で確かめてください。
- Debian DEBIAN-CVE-2026-127111 sogo この記録に修正版の記載なし
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SOGo before 5.12.13 contains an improper restriction of excessive authentication attempts vulnerability that allows unauthenticated attackers to reset account passwords by repeatedly guessing secret-question answers via the passwordRecoveryCheck endpoint without lockout or rate limiting. Attackers can submit unlimited candidate answers to obtain a valid recovery JWT, then use it to change the account password without the old credential and log in via the connect endpoint, achieving full account takeover on accounts without TOTP enabled.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- patch github.com
- web github.com