BlueSpice のコンテナ版で管理者権限を奪われる恐れ、修正版あり
Wiki ソフトウェア BlueSpice のコンテナイメージ(bluespice/wiki)に、設定の既定値の不備により、閲覧できる人なら誰でも管理者(sysop)権限を得られる弱点が見つかりました。公開 Wiki では匿名の閲覧者も対象になります。5.2.3 以上 5.2.7 未満、および 2026年10月19日 15:37 UTC より前に公開された 5.2.7 のイメージを使っている場合は、修正済みイメージへの入れ替えを急いでください。
急ぎ度: 至急
認証なし・ネットワーク経由・特別な条件なしで管理者権限に至るCVSS 9.8の弱点で、インターネットから閲覧できるWikiほど危険が大きいためです。
関係があるか
DockerなどでBlueSpiceの公式コンテナイメージbluespice/wikiを動かしている組織が対象です。特にインターネットに公開しているWikiや、社内の多数の利用者が閲覧できるWikiは影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| BlueSpice(コンテナイメージ bluespice/wiki) | 5.2.3以上5.2.7未満 | 5.2.7 |
| BlueSpice 5.2.7 のコンテナイメージ | 2026年10月19日15:37 UTCより前に公開されたもの | 上記時刻以降に公開された5.2.7のイメージ |
確かめ方
- 1稼働中のWikiのBlueSpiceの版を管理画面などで確認し、5.2.3以上かどうかを調べます。
- 2版が5.2.7の場合は、使っているイメージがいつ公開されたものかを確認します。2026年10月19日15:37 UTCより前のものは対象です。
- 3コンテナに環境変数WIKI_SERVICE_TOKEN_AUTH_ALLOWEDが設定されているかを確認します。未設定のときにIP制限が無効になります。
- 4Wikiが匿名で閲覧できる設定か、社外から到達できるかを確認します。どちらも当てはまるなら優先度は最も高くなります。
何が起きたか
BlueSpiceのコンテナ版には、社内向けの内部サービスが認証を行うとき、接続元をコンテナ内のネットワークに限定する仕組みがあります。ところが、ある環境変数を設定しないまま起動すると、この制限の設定値が空になり、制限が働かなくなっていました。その結果、Wikiを閲覧できる人なら誰でも、内部サービス用の管理者相当の権限を手に入れられる状態になっていました。公開Wikiでは匿名の訪問者も含まれます。
技術的には、コンテナ内のLocalSettings.phpにある $mwsgTokenAuthenticatorServiceCIDR の既定値が、環境変数 WIKI_SERVICE_TOKEN_AUTH_ALLOWED の未設定時に空文字列になります。トークン認証のコンポーネント(mwstake/mediawiki-component-token-authenticator)は、この値が空だとIP制限を行いません。REST APIからアプリケーショントークンを取得でき、それを使って内部サービスユーザーとしてsysop権限のセッションを得られます。
分類はCWE-269（不適切な権限管理）とCWE-1188（安全でない既定値による初期化）です。コードの誤りというより、初期設定の安全側への倒し方が不十分だったという性質の問題です。ベンダーはコンテナイメージ側の修正を公開しています。
攻撃の流れ
-
1
Wikiに到達
閲覧権限があれば足り、公開Wikiでは匿名のままネットワーク越しに到達できます。
-
2
トークン取得
IP制限が無効なため、本来は内部だけに許されるREST APIでのトークン取得が外部からも通ります。
-
3
管理者セッション
取得したトークンで、内部サービスユーザーとしてsysop権限のセッションを得ます。
-
4
Wikiを掌握
内容の閲覧・改ざん・削除など、管理者相当の操作が可能になります。
どう悪用されるか
悪用に必要なのは、Wikiへの閲覧アクセスだけです。ログインは不要で、利用者に何かを操作させる必要もなく、ネットワーク越しに実行できます。公開Wikiであれば、世界中の誰もが条件を満たします。非公開Wikiでも、閲覧権限を持つ一般利用者が管理者権限を得られるため、内部不正や、盗まれたアカウントの被害拡大につながります。
悪用された場合、Wiki上の情報の漏えい、ページの改ざん・削除、利用者や権限設定の変更、サービス停止などが起こり得ます。CVSS v3.1は9.8、CVSS v4.0は9.3で、機密性・完全性・可用性のすべてが高く評価されています。実際の攻撃で悪用されたという公表は、現時点で明らかになっていません。ただし、修正前のイメージは条件が単純なため、公開Wikiは早急な対応が望まれます。
今すぐやること
-
1
使用中の版とイメージを確認する
BlueSpiceの版と、イメージの取得・作成時期を確かめます。作成日時の表示は公開時刻と一致しない場合があるため、判断に迷うときはベンダーの告知を参照してください。
docker image inspect bluespice/wiki --format '{{.RepoTags}} {{.Created}}' -
2
修正済みのイメージに入れ替える
2026年10月19日15:37 UTC以降に公開された5.2.7のイメージを取得し直し、コンテナを再作成します。5.2.7のタグ名が同じでも、古いイメージが手元に残っていることがあるため、取得し直しが必要です。
docker pull bluespice/wiki:5.2.7 -
3
環境変数の設定を確認する
WIKI_SERVICE_TOKEN_AUTH_ALLOWEDが設定されているかを確認します。値の書式や、設定すべき範囲はベンダーの告知で確かめてください。
docker inspect <コンテナ名> --format '{{range .Config.Env}}{{println .}}{{end}}' | grep WIKI_SERVICE_TOKEN_AUTH_ALLOWED -
4
不審な形跡がないか点検する
対象の期間にWikiを公開していた場合は、アクセスログでREST APIへの不審なアクセスがないかを確認します。あわせて、管理者権限を持つ利用者の一覧、権限変更の履歴、意図しないページ編集や削除がないかを見直してください。
-
5
影響範囲に応じて秘密情報を見直す
不審な形跡があった場合は、Wikiに保存した認証情報や、Wikiから連携している外部サービスの鍵・パスワードの交換を検討します。
すぐ更新できないとき
すぐにイメージを入れ替えられない場合は、環境変数WIKI_SERVICE_TOKEN_AUTH_ALLOWEDに、許可する接続元（コンテナネットワークの範囲）を明示的に設定して再起動する方法が考えられます。これでIP制限が空のまま無効になる状態を避けられると考えられますが、書式と効果の詳細はベンダーの告知（BSSA-2026-07）で確認してください。あわせて、ファイアウォールやリバースプロキシでWikiへの外部からのアクセスを一時的に制限すると、リスクを下げられます。これらは暫定策であり、修正済みイメージへの入れ替えが本来の対処です。
背景
Wikiは、手順書、設計資料、運用ノウハウなど、社内の知識を集める場所として使われます。BlueSpiceのようなWiki製品は、閲覧者・編集者・管理者という権限の階層が前提のため、管理者権限が奪われると、蓄積された情報全体の信頼性が損なわれます。コンテナ版は導入が簡単な反面、設定の既定値がそのまま本番環境の安全性を左右します。
今回のように、安全のための制限が設定の未指定時に無効になる問題は、さまざまな製品で繰り返し見られてきました。「設定しなければ安全側に倒れる」のではなく、「設定しなければ制限が外れる」状態は、利用者が気づきにくいのが特徴です。コンテナを使うときは、既定値と環境変数の扱いを、版の更新のたびに確認しておくことが有効です。
よくある質問
Q.BlueSpiceを使っていますが、コンテナ版でなければ影響はありますか。
Q.社内ネットワークからしか見られないWikiでも対処は必要ですか。
Q.5.2.7を使っていれば安全ですか。
Q.すでに悪用されたかどうかは、どう調べればよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用された事例があるかどうかは、現時点で明らかになっていません。
- コンテナ版以外の導入形態で同様の影響があるかは、公表されている範囲では明確ではありません。ベンダーの告知で確認してください。
- 悪用された場合にログへ残る痕跡の具体的な内容は公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hallo Welt! GmbH | BlueSpice |
5.2.3 以上 5.2.7 未満 |
5.2.7 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Initialization of a Resource with an Insecure Default vulnerability in Hallo Welt! GmbH BlueSpice (container image bluespice/wiki) allows privilege escalation. The default value of $mwsgTokenAuthenticatorServiceCIDR in the container's LocalSettings.php was intended to restrict internal service authentication to the container network, but evaluated to an empty string when the environment variable WIKI_SERVICE_TOKEN_AUTH_ALLOWED was not set. An empty value disables the IP restriction in the token authenticator component (mwstake/mediawiki-component-token-authenticator). As a result, any user with read access to the wiki (anonymous users on publicly readable wikis) could obtain an application token from the REST API and use it to get a session with sysop privileges as the internal service user.
This issue affects BlueSpice: from 5.2.3 before 5.2.7, and the 5.2.7 container images published before 2026-10-19 15:37 UTC.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- patch github.com
- web en.wiki.bluespice.com
- web nvd.nist.gov
- web github.com