#20260319 Next.jsやKeycloakの深刻な脆弱性

■ 今日のハイライト 今日は、Web開発や認証基盤で広く使われているOSSの重要セキュリティニュースを4つのトピックに分けて詳しくお届けします。 ▼ 1. ネクストジェイエス（Next.js）の複数脆弱性 大人気フレームワークのネクストジェイエスにおいて、多数の脆弱性が修正されました。 ・CVE-2026-29057：リライト機能におけるHTTPリクエストスマグリングの脆弱性。チャンクエンコーディングの処理の解釈の違いを悪用され、他者の通信に干渉される恐れがあります。 ・CVE-2026-27980：画像最適化のキャッシュが無制限に肥大化し、ディスク容量を枯渇させることによるDoS（サービス拒否）の脆弱性。 ・CVE-2026-27978：特定の条件下でOriginがnullの場合に、CSRF（クロスサイトリクエストフォージェリ）のチェックをすり抜けてしまう脆弱性。 ▼ 2. キークローク（Keycloak）のSAML関連の脆弱性 認証・認可基盤のキークロークで、SAML（サミュル）認証に関連する重要な修正が行われました。 ・CVE-2026-2575：極度に圧縮されたSAMLリクエストを受け取った際、展開時のサイズ制限が効かず、サーバーのメモリが枯渇（OutOfMemory）してしまうDoS脆弱性。 ・CVE-2026-2092 / CVE-2026-2603：署名されていないSAML応答の検証不備や、無効化されたIdP（アイデンティティプロバイダ）経由での不正なログインを許してしまう認証バイパスの脆弱性。 ▼ 3. パースサーバー（Parse Server）の深刻な脆弱性 バックエンド構築を支援するパースサーバーにおいて、セキュリティ機構を根本から揺るがす問題が報告されています。 ・CVE-2026-33042：アカウント作成時に空の認証データを送ることで、ユーザー名やパスワードなしで正規のセッションを発行できてしまう認証バイパスの脆弱性。 ・CVE-2026-32878：プロトタイプ汚染攻撃により、本来変更できないはずのデータベーススキーマ構造を書き換えられてしまう問題。 ▼ 4. スプリングエーアイ（Spring AI）のインジェクション AIモデルとの連携を容易にするスプリングエーアイのライブラリで問題が発覚しました。 ・CVE-2026-22730：マリアディービー（MariaDB）用のフィルター変換処理において入力値の無害化が不足しており、任意のSQLが実行可能になるSQLインジェクションの脆弱性。 ・CVE-2026-22729：ベクターストアへの問い合わせ処理におけるJSONPathインジェクションの脆弱性。 該当の技術スタックを利用している開発チームや運用担当者の方は、早急に利用バージョンの確認と最新版へのアップデートを実施してください。 #セキュリティ #エンジニア #ITニュース #脆弱性 #Web開発 #Nextjs #Keycloak #Java Data sources: GitHub Advisory Database (CC-BY 4.0) --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793