概要
sso に 脆弱性 (CVE-2026-42354) が存在。機密情報が外部に流出する可能性があります。Moved 経由で攻撃可能。
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
Impact
A critical vulnerability was discovered in the SAML SSO implementation of Sentry. It was reported to us via Sentry's private bug bounty program.
The vulnerability allows an attacker to take over any user account by using a malicious SAML Identity Provider and another organization on the same Sentry instance. The victim email address must be known in order to exploit this vulnerability.
Self-hosted users are only vulnerable if the following conditions are met:
- They have more than one organization configured (SENTRY_SINGLE_ORGANIZATION = False).
- A malicious user has existing access and permissions to modify SSO settings for another organization in their multi-organization instance.
Patches
- Sentry SaaS: The fix was deployed in April. No action is required.
- Self-Hosted Sentry: If only a single organization is allowed (SENTRY_SINGLE_ORGANIZATION = True), then no action is needed. Sentry recommends upgrading to version 26.4.1 or higher.
Workarounds
User account-based two-factor authentication prevents an attacker from being able to complete authentication with a victim's user account. Organization administrators cannot do this on a user's behalf, this requires individual users to ensure 2FA has been enabled for their account.
Users can manage their two-factor authentication settings through Account Settings > Security page. For step-by-s…
出典: NIST National Vulnerability Database NVD GitHub Advisory
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Sentryというエラートラッキングツールに深刻なセキュリティの問題が見つかりました。攻撃者は、この問題を悪用して、IDやパスワードを入手することなくユーザーアカウントを乗っ取る可能性があります。この脆弱性は、特定の範囲のバージョンに影響しており、最新版で修正されています。この問題を防ぐためには、ユーザーが二要素認証を有効にすることが求められます。過去の同様の事例としては、IDを乗っ取られるHeartbleedの脆弱性があります。
CVE-2026-42354は、SentryのSAML SSO実装における認証回避の脆弱性であり、外部のSAML IDプロバイダによってユーザーアカウントを乗っ取ることを可能にします。影響を受けるバージョン範囲は21.12.0から26.4.0で、修正バージョンは26.4.1です。この脆弱性を狙った攻撃を防ぐため、特に二要素認証の設定を強化することが推奨されます。攻撃には、被害者のメールアドレスの既知が必要です。
CVE-2026-42354 に 脆弱性 (CWE-290) があります。攻撃者は Moved を経由して脆弱な処理に到達し、認証なしで悪用できます。
CVE-2026-42354 のうち 影響範囲: >= 21.12.0, < 26.4.0。攻撃箇所: Moved / Crons / Uptime / run_stats_query。
重要度: 最重要 (CVSS 9.1/10)。機密情報が外部に流出する可能性があります
ベンダー公式アドバイザリの修正版に更新してください。(修正前: >= 21.12.0, < 26.4.0 該当バージョンが本番稼働中なら直ちに更新計画を立案)
修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。
Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。
類似する過去の事例 過去のCVE/インシデントから類似事例を抽出
A serious vulnerability in OpenSSL allowing memory exposure to attackers, leading to data theft.
A remote code execution vulnerability in Apache Log4j impacting numerous applications and services.
Similar SAML SSO vulnerability in another application allowing account takeover.
もし自社で起きたら 業務シナリオごとの想定影響
Unauthorized parties could take over user accounts, leading to data breaches or monitoring interruptions.
Cross-tenant attacks resulting in unauthorized data access and potential compliance violations.
Interruption in monitoring services, causing delays in issue detection and resolution.
Organizations should update their Sentry installations and enforce two-factor authentication for all users.
対応アクション
SOC/SREチームが順番に実行すべき具体的なステップとコマンド例
-
1影響範囲の特定 identify
Audit SBOM/dependencies for affected components.依存マニフェストで影響コンポーネントを特定する。
-
2バージョン照合 verify
Confirm if version satisfies `>= 21.12.0, < 26.4.0`Step 1 で見つかったバージョンが影響範囲
>= 21.12.0, < 26.4.0に該当するか照合。本番で稼働中ならインシデント扱い。 -
7事後検証 verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。
影響パッケージ
参照URL
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com