#20260318 AuthlibやCraft CMSの重大な脆弱性

■ 今日のハイライト 本日は、認証ライブラリ「Authlib」、人気の「Craft CMS」、そしてシステム監視ツール「Glances」などで発見された多数の深刻な脆弱性について解説します。 ▼ 1. Authlibの重大な暗号・認証バイパス脆弱性 Pythonの認証ライブラリ「Authlib」において、非常に深刻な脆弱性が複数報告されました。 ・CVE-2026-28498: OIDCハッシュバインディングにおけるフェイルオープンの問題。トークン検証が不正に成功する恐れがあります。 ・CVE-2026-28490: RSA1_5アルゴリズムにおけるBleichenbacherパディングオラクルの問題。 ・CVE-2026-27962: JWS JWKヘッダーインジェクションによる署名検証バイパス。 システムでAuthlibを利用している場合は、直ちにパッチが適用された最新バージョンへアップデートすることが強く推奨されます。 ▼ 2. Craft CMSにおける権限昇格とリモートコード実行 「Craft CMS」本体および関連プラグインにて、複数の致命的な脆弱性が修正されました。 ・CVE-2026-32267: 権限昇格の脆弱性。低権限ユーザーが管理者権限を奪取できる可能性があります。 ・CVE-2026-32264 / CVE-2026-32263: 振る舞いインジェクションの脆弱性を悪用したリモートコード実行（RCE）。 ・CVE-2026-32261: Webhooksプラグインにおけるテンプレートインジェクション（SSTI）によるRCE。 その他、AWS S3やAzure Blob Storage等のプラグインでも、未認証ユーザーにバケット情報が漏洩する脆弱性（CVE-2026-32265等）が発覚しています。 ▼ 3. システム監視ツールGlancesの多数の脆弱性 クロスプラットフォームのシステム監視ツール「Glances」において、複数のセキュリティ欠陥が明らかになりました。 ・CVE-2026-32596: デフォルトでREST APIが認証なしで公開され、システム上のプロセス引数（パスワードやAPIキー等）が漏洩する問題。 ・CVE-2026-32608: アクションコマンドテンプレート経由でのコマンドインジェクション。任意のシェルコマンドが実行される危険があります。 ・CVE-2026-32611: DuckDBエクスポートモジュールにおけるSQLインジェクション。 ▼ その他の重要トピック ・【SiYuan】CVE-2026-32767など：デスクトップおよびモバイル版におけるSQLインジェクションやリモートコード実行が多数報告。 ・【Admidio】CVE-2026-32756など：ファイルアップロードを通じたRCEやSQLインジェクションの脆弱性。 ・【Filebrowser】CVE-2026-32760：サインアップ機能有効時、設定次第で誰でも管理者アカウントを作成できてしまう問題。 ・【IncusOS】CVE-2026-32606：物理アクセスによりLUKS暗号化をバイパスできる脆弱性。 #セキュリティ #エンジニア #ITニュース #脆弱性 #サイバーセキュリティ Data sources: GitHub Advisory Database (CC-BY 4.0) --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793