StorageGRIDに認証回避の脆弱性、修正版あり
NetAppのオブジェクトストレージStorageGRIDに、認証を回避して不正なリクエストを通せてしまう脆弱性が見つかりました。11.3以降を使う組織は、修正版への更新と、Grid Networkに届く通信の範囲の確認を進めてください。
急ぎ度: 早めに
CVSS v4は9.1のcriticalで修正版が公開済みですが、悪用にはGrid Networkへの通信と製品固有の知識が必要で、攻撃の複雑さは高く評価されています。
関係があるか
StorageGRIDの11.3以降を、バックアップ・アーカイブ・非構造化データの保管先として運用している組織が対象です。Grid Networkに通信できる機器の範囲が広い環境ほど、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| StorageGRID（旧StorageGRID Webscale）11.x系 | 11.3以降、11.9.0.15より前の版 | 11.9.0.15 |
| StorageGRID（旧StorageGRID Webscale）12.0系 | 12.0.0.9より前の版 | 12.0.0.9 |
| StorageGRID（旧StorageGRID Webscale）12.1系 | 12.1.0.1より前の版 | 12.1.0.1 |
確かめ方
- 1Grid Managerのバージョン表示で、自社のStorageGRIDの版を確認します。11.3以降で、上の修正版より前なら対象です。
- 2Grid Networkに通信できる機器やネットワークの範囲を、ネットワーク構成図やファイアウォールの設定から洗い出します。
- 3NetAppの告知（NTAP-20261103-0001）で、影響する版と修正版の最新情報を確認します。
何が起きたか
StorageGRIDの11.3以降に、認証を回避して権限のないリクエストを通せてしまう脆弱性が見つかりました。
NetAppが2026年11月3日に告知を出し、11.9.0.15・12.0.0.9・12.1.0.1で修正しています。CVSS v4は9.1で、機密性と完全性への影響が高く評価されました。可用性への影響は評価されていません。
急ぐかどうかは、Grid Networkをほかのネットワークからどれだけ分離できているかで変わるとみられます。
攻撃の流れ
-
1
経路の確保
Grid Networkの特定のポートに通信できる位置を得ます。
-
2
製品知識の利用
StorageGRID固有の知識をもとに、リクエストを組み立てます。
-
3
認証の回避
認証を経ずに、権限のないリクエストが受け付けられます。
-
4
データへの影響
保管データの機密性と完全性が損なわれるおそれがあります。
どう悪用されるか
認証は要りません。利用者の操作も不要です。ただし、Grid Networkの特定のポートに通信できる位置にいることが前提で、StorageGRID固有の知識も要ります。攻撃の複雑さは高く、攻撃の前提条件もあると評価されています。インターネット側から直接狙われる構成より、社内ネットワークに侵入された後や、分離が甘い環境で問題になりやすい種類です。
悪用された場合、保管しているデータが読まれたり書き換えられたりするおそれがあります。サービス停止への影響は評価されていません。バックアップやアーカイブの保管先として使っている場合、読まれる被害と、書き換えられて復元に使えなくなる被害の両方を考える必要があります。
今すぐやること
-
1
自社の版を確認する
Grid Managerで版を確認し、11.3以降で修正版より前の版かどうかを判断します。複数のグリッドを運用している場合は、すべてを確認します。
-
2
修正版に更新する
11系は11.9.0.15、12.0系は12.0.0.9、12.1系は12.1.0.1に更新します。アップグレードの手順と事前条件は、NetAppの告知と製品のドキュメントで確認します。ストレージの更新は停止やバックアップの計画が絡むため、保守枠を早めに押さえます。
-
3
Grid Networkの到達範囲を点検する
Grid Networkに通信できる機器やセグメントを洗い出し、ストレージのノードと管理に必要な端末以外が届いていないかを確認します。不要な経路があれば、更新前でも塞ぎます。
-
4
不審なアクセスの跡を調べる
更新の前後で、ファイアウォールやネットワーク機器のログから、Grid Networkへ想定外の機器から通信がなかったかを確認します。
すぐ更新できないとき
すぐに更新できないときは、ファイアウォールやネットワークの分離設定で、Grid Networkに通信できる機器をStorageGRIDのノードと管理に必要な端末だけに絞ります。NetAppの告知に別の回避策が書かれていれば、それに従います。
背景
StorageGRIDは、NetAppが提供するオブジェクトストレージです。複数のノードをまとめて一つの保管領域として扱い、バックアップの保存先、長期保管のアーカイブ、画像や動画のような非構造化データの置き場として使われます。社内では、ほかのシステムのデータを預かる土台にあたるため、ここが破られると影響が一つの業務にとどまりません。
ノード同士が通信するGrid Networkは、通常は利用者向けの通信とは分けて設計されます。今回の脆弱性は、この内部向けのネットワークに届く通信が前提になっています。だから、危険度はネットワークの分け方に左右されます。分離を設計どおり保てているか、バックアップ用の機器や運用端末の経路が広がっていないかを、更新と合わせて見直す機会になります。
よくある質問
Q.インターネットに公開していなければ、影響はありませんか。
Q.11.3より前の版は対象外ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| NETAPP | StorageGRID (formerly StorageGRID Webscale) |
11.3 以上 11.9.0.15, 12.0.0.9, 12.1.0.1 未満 |
11.9.0.15, 12.0.0.9, 12.1.0.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
StorageGRID (formerly StorageGRID Webscale) versions 11.3 and higher allow an attacker with product-specific knowledge and the ability to communicate with the Grid Network on certain ports to make unauthorized requests.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security.netapp.com
- web nvd.nist.gov
- web github.com