listmonkの2FA回避の脆弱性2件、修正版あり
listmonk 6.0.0から7.0.0-beta.2未満の管理画面で、TOTPによる2段階認証を回避される脆弱性が2件公表されました。運用中の組織は版を確認し、7.0.0-beta.2以降へ更新してください。
同じ発表の脆弱性 2 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-128333 高 9.1
- CVE-2026-128332 高 9.1
急ぎ度: 早めに
CVSS v4は2件とも9.1、v3は7.4で、修正版も公開されているため、早めの更新が妥当です。
関係があるか
自前のサーバーでlistmonkを動かし、管理者アカウントにTOTPの2段階認証を設定している組織が対象です。管理画面に外部から到達できる環境ほど影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| listmonk | 6.0.0以上、7.0.0-beta.2未満 | 7.0.0-beta.2 |
確かめ方
- 1運用中のlistmonkの版を確認し、6.0.0以上7.0.0-beta.2未満に当たるかを見る。コンテナで動かしている場合は、使っているイメージのタグも確認する。
- 2管理者アカウントにTOTPを設定しているかを、管理画面のユーザー設定で確認する。
- 3管理画面のURLが社外のネットワークから開けるかを確認する。
何が起きたか
listmonkの管理画面のログインで、TOTPによる2段階認証が働かなくなる脆弱性が2件公表されました。2段階認証を設定したアカウントでも、TOTPコードなしでログイン済みの状態にされるおそれがあり、Super Adminも含まれます。
- CVE-2026-128333: パスワード再設定の完了後に、TOTPの確認が飛ばされてログイン済みになる（CVSS v3 7.4、v4 9.1）
- CVE-2026-128332: TOTPコードの試行回数の制限が、パスワードで再ログインするたびに戻り、総当たりで突破される（CVSS v3 7.4、v4 9.1）
前者はCWE-304、後者はCWE-307に分類されています。前者の修正コミットでは、再設定の完了処理が、セッションを直接保存せず、通常のパスワードログインと同じ最終処理を通るように変わりました。TOTPが有効なアカウントでは、再設定のあとにも2段階認証の画面が出ます。
攻撃の流れ
-
1
入口を確保
再設定メールを読める立場になるか、管理者のパスワードを入手する。
-
2
2FAを回避
再設定の完了、またはTOTPコードの総当たりで、確認の段階を通り抜ける。
-
3
管理者セッション
TOTPコードなしで、Super Adminを含む認証済みセッションを得る。
-
4
管理画面を操作
得た権限の範囲で、管理画面のデータの閲覧や変更に及ぶ。
どう悪用されるか
どちらもネットワーク経由で悪用でき、利用者の操作は要りません。攻撃の複雑さは高いとされており、条件が整う必要があります。
CVE-2026-128333では、攻撃者がパスワード再設定を完了できることが前提です。たとえば、被害者宛ての再設定メールを読める場合が当たります。listmonkへのログイン権限は前提になりません。
CVE-2026-128332では、攻撃者が有効なパスワードを知っていることが前提です。パスワードだけで守られている状態と比べると、TOTPが実質的に機能しなくなります。
どちらも成功すると、TOTPを設定した管理者としてログインした状態になり、Super Adminの権限を得られます。CVSSの評価では、情報の閲覧と変更への影響が大きく、サービス停止は想定されていません。
今すぐやること
-
1
修正版に更新する
7.0.0-beta.2以降に更新します。修正版はベータ版として公開されているため、安定版が出ているかどうかと更新時の注意は、listmonkのリリースノートで確認してください。
./listmonk --version -
2
管理画面へのアクセスを絞る
更新までのあいだ、管理画面のURLを社内ネットワークやVPNからだけ開けるようにします。更新後も、公開する必要がなければそのままにしておくと、同種の問題に備えられます。
-
3
管理者アカウントの状況を点検する
身に覚えのないログインや、パスワード再設定の履歴がないかを調べます。Super Adminの利用者は、パスワードを再設定したメールアカウントの保護状況も確かめます。
-
4
不審な形跡があれば資格情報を入れ替える
不審なログインや再設定が見つかった場合は、該当アカウントのパスワードとTOTPの登録を作り直し、管理画面で行われた変更の内容も点検します。
すぐ更新できないとき
ベンダーから個別の回避策は示されていません。修正版に更新できるまでは、管理画面へのアクセスをVPNや接続元の制限で絞り、管理者のパスワードを他と使い回さず、再設定メールを受け取るメールアカウントにも多要素認証をかけておくと、攻撃の入口を狭められます。
背景
listmonkは、自前のサーバーで動かせるオープンソースのニュースレター・メーリングリスト管理ツールです。管理画面には購読者のメールアドレスや配信内容が集まるため、Super Adminの権限を奪われると影響が大きくなります。管理者のログインをTOTPで守る運用が多いのも、そのためです。
今回の2件は、どちらもパスワードの先にあるTOTPへ回り道があったという点で共通します。1件は再設定の完了処理で、もう1件は試行回数の数え方です。修正コミットでは、再設定後のログインも通常のパスワードログインと同じ最終処理に集約されました。2段階認証が正しく働くかは、通常のログイン画面だけでなく、再設定やセッション発行といった周辺の経路も含めて決まります。
よくある質問
Q.TOTPを設定していないアカウントは影響を受けますか。
Q.6.0.0より前の版は対象ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| knadhlistmonk |
6.0.0 以上 7.0.0-beta.2 未満→ 7.0.0-beta.2 |
7.0.0-beta.2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
listmonk 6.0.0 before 7.0.0-beta.2 contains an authentication bypass vulnerability in doResetPassword that skips TOTP verification after a password reset. Attackers who can complete a reset, such as by reading the victim's reset email, obtain fully authenticated sessions including Super Admin without the TOTP code.
出典: CVE.org (CVE Program・cvelistV5) NVD