Okta社は、Auth0 AD/LDAP ConnectorおよびOkta Access Gatewayに影響する3件の重大な脆弱性に対し、セキュリティアップデートを公開しました。
セキュリティトレーニングコース
これらの脆弱性を悪用すると、認証済みの攻撃者が特定の展開条件下で、クロスサイトスクリプティング(XSS)を格納させたり、Protected Ruleの認可制御を回避したり、設定されたバックエンドデータベースに対して意図しないSQLコマンドを実行させたりできる可能性があります。
これら3件の脆弱性はいずれも2026年9月8日に公開されました。対象のAuth0コネクタまたはOkta Access Gatewayを利用している組織は、特にディレクトリ属性やProtected Rule、SQLベースのカスタム高度データストアを使用している場合、優先的にアップグレードを行う必要があります。
Auth0コネクタにおける深刻な格納型XSS
最も深刻な問題はCVE-2026-85982として追跡されており、Auth0 AD/LDAP Connectorのバージョン8.0.0より前に影響します。Okta社はこの脆弱性にCVSS v3スコア9.0を割り当てており、緊急(critical)に分類しています。
この欠陥は、Auth0 AD/LDAP Connector管理パネル内の検索結果およびアップデーターログに表示されるデータのHTMLエンコードが不適切であることに起因する格納型クロスサイトスクリプティングの脆弱性です。CWE-79「Webページ生成時における入力の不適切な無害化」に分類されています。
接続先のユーザーディレクトリに認証済みでアクセスでき、ユーザー編集可能なディレクトリ属性を変更する権限を持つ攻撃者は、それらのフィールドに悪意のあるスクリプトコンテンツを注入できる可能性があります。あるいは、コネクタをホストするシステム上の低権限ローカルユーザーが、アップデーターのログデータに悪意のあるコンテンツを混入させることも考えられます。
このペイロードは、管理者がコネクタの管理インターフェース上で該当するディレクトリの検索結果やアップデートログを開いた際に実行されます。悪用に成功すると、セッションの窃取、被害者のブラウザ経由での不正な管理操作、インターフェースの改ざん、管理者に閲覧可能な機密データへのアクセスなどが可能になる恐れがあります。
OktaはCVE-2026-85982を修正するため、auth0/ad-ldap-connectorパッケージをバージョン8.0.0以降にアップグレードするよう推奨しています。
Okta社はまた、Okta Access Gatewayのバージョン2026.9.1より前に存在する認可バイパスの問題であるCVE-2026-78626にも対処しています。この脆弱性のCVSS v3スコアは8.1で、CWE-863「不適切な認可」に分類されています。
この欠陥は、製品のProtected Rule認可チェックにおける入力の無害化処理および正規表現評価が不適切であることに起因します。Protected Ruleは、指定されたアプリケーションリソースに対するアクセス制限を強制するものです。
この脆弱性を悪用するには、管理者が1つ以上のリソースに対してProtected Ruleポリシーを設定していることが前提となり、さらに攻撃者は対象アプリケーションに割り当てられた有効な認証済みアカウントを保有している必要があります。
Okta社によれば、いかなるアプリケーション権限レベルの攻撃者であっても、設定された認可制御を回避できる可能性があるとしています。
この問題は、レガシーシステムやオンプレミスアプリケーションに対してリソース単位できめ細かな保護を強制するためにAccess Gatewayを利用している組織にとって、特に懸念すべき事項です。
管理者は、Protected Ruleが機密性の高いパス、管理パネル、あるいは重要度の高いアプリケーション機能を保護しているかどうかを確認し、対象のゲートウェイをバージョン2026.9.1以降にアップデートすべきです。
3つ目の欠陥であるCVE-2026-78623は、Okta Access Gatewayの高度モード(advanced-mode)データストア設定に存在するSQLインジェクションの脆弱性です。CVSS v3スコアは7.7で、CWE-89「SQLコマンドで使用される特殊要素の不適切な無害化」に該当します。
この問題は、Access GatewayがSAMLアサーション値をカスタムデータベースクエリ文字列に挿入する前に無害化を行わないことに起因します。クエリ自体は事後にプリペアド化されるものの、攻撃者が制御可能なアサーション値はそのプリペアド化より前に文字列結合されるため、設定されたバックエンドデータベースに対して意図しないSQL実行が可能になる恐れがあります。
この脆弱性を悪用するには、SAMLアサーション属性を参照するカスタムSQLクエリを用いた高度モードのデータベースデータストアが必要です。また攻撃者は、参照される少なくとも1つのアサーション属性の値を制御できる、有効な認証セッションを保持している必要があります。
組織はAccess Gatewayアプライアンスをバージョン2026.9.1以降にアップグレードすべきです。セキュリティチームは、カスタムSQLデータストアクエリの監査を行い、クエリ入力として使用されているSAML属性を特定した上で、可能な限りアサーション値を厳格に検証された形式に制限することも重要です。
セキュリティトレーニングコース
アクティブなマルウェアやフィッシングの発生から24時間以内に、SOCを最新の状態に保ちましょう。 早期検知でインシデントを未然に防ぐANYRUNをお試しください。
翻訳元: https://gbhackers.com/okta-patches-auth0-and-access-gateway-vulnerabilities/