Oktaは、Auth0 AD/LDAP ConnectorおよびOkta Access Gatewayに影響する3件の重要度「高」の脆弱性に対処するセキュリティアップデートをリリースしました。この中には攻撃者が制御するコードを管理者のブラウザ上で実行できる、格納型クロスサイトスクリプティング(XSS)の重大な脆弱性も含まれています。
2026年9月8日に公開されたこれらの脆弱性には、格納型XSS、認可バイパス、SQLインジェクションの各問題が含まれます。
影響を受けるIDインフラを利用している組織は、Access Gatewayが機密性の高いエンタープライズアプリケーションを保護している場合や、権限を持つIT担当者がAuth0のディレクトリコネクタを管理している場合には特に、修正作業を優先すべきです。
最も深刻な脆弱性であるCVE-2026-85982は、Auth0 AD/LDAP Connectorに影響を及ぼし、CVSS v3スコアは9.0です。この脆弱性は、コネクタの管理インターフェースに表示されるディレクトリ検索結果のデータおよびアップデーターログの内容が、適切にHTMLエンコードされていないことに起因します。
接続されたディレクトリへの認証済みアクセス権を持つ攻撃者は、ユーザーが編集可能なディレクトリ属性に悪意のあるJavaScriptを含めることで、この問題を悪用できる可能性があります。
また、コネクタをホストするシステムへのアクセス権を持つ低権限のローカルユーザーも、アップデーターログや関連するローカルデータフィールドに悪意のあるコンテンツを注入できる可能性があります。
悪意のあるペイロードは、管理者がAuth0 AD/LDAP Connector Admin Panelを通じて該当するディレクトリ検索結果やアップデーターログを開くまで格納された状態が続きます。管理者がそれらを開いた時点で、スクリプトが管理者のブラウザセッション内で実行される可能性があります。
管理インターフェースにおける格納型XSSは特に危険であり、セッションの窃取、管理者権限で実行されるブラウザ上の操作、コネクタ設定の改変、あるいは機密性の高いID管理データへのアクセスなどにつながる恐れがあります。
この脆弱性はCWE-79(Webページ生成時における入力の不適切な無害化)として分類されています。
Oktaはauth0/ad-ldap-connectorバージョン8.0.0でCVE-2026-85982に対処済みです。顧客はこのバージョン以降へのアップグレードを行うとともに、管理者の検索結果に表示される属性を信頼できないユーザーが改変できる状態になっていないか、ディレクトリの権限を確認する必要があります。
2つ目の問題であるCVE-2026-78626は、Okta Access Gateway Protected Rulesに影響し、CVSSスコアは8.1です。この認可バイパスの脆弱性は、Protected Ruleの認可チェック時における入力の不適切なサニタイズと正規表現の評価処理に起因します。
この脆弱性の悪用には、アプリケーションリソースに対してProtected Ruleポリシーが設定されていることが前提条件となります。また攻撃者は、対象アプリケーションに割り当てられた有効なアカウントを保有している必要がありますが、そのアカウントの権限は限定的なもので構いません。
巧妙に作成された入力によって認可の制限を回避し、保護されたリソースや機能が露出する可能性があります。この脆弱性はCWE-863(不適切な認可)に分類されており、Okta Access Gatewayバージョン2026.9.1で修正されています。
Oktaはさらに、深刻度7.7のSQLインジェクション脆弱性であるCVE-2026-78623についても修正パッチを適用しました。この脆弱性は、SAMLアサーション属性を参照するカスタムSQLクエリを使用するアドバンストモードのデータベースデータストアに影響します。
値がプリペアド処理される前にクエリ文字列へと展開(補間)されてしまうため、アクティブなセッションを持ち、参照先のアサーション属性を制御できる攻撃者はSQLを注入できる可能性があります。この問題はCWE-89に分類されており、バックエンドの権限設定によっては、データの露出、レコードの改ざん、データベースの機能停止につながる恐れがあります。
セキュリティチームは、影響を受ける環境を洗い出したうえで、Auth0コネクタおよびAccess Gatewayアプライアンスをアップグレードし、カスタムデータストアのクエリを監査し、Protected Ruleポリシーを見直すとともに、ディレクトリ属性やコネクタログに対する不審な変更がないか調査する必要があります。
16,000以上の組織から得られる最新の脅威インテリジェンスで、脅威検知率を58%向上。TIフィードを統合することで、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/critical-auth0-ad-ldap-connector-flaw/
