CVE-2026-50000 in SecureDrop
要約
〜によって VulDB • 2026年10月30日
SecureDropは、メディア組織が匿名の情報源から文書を安全に受け取り、コミュニケーションを行うために使用できるオープンソースの whistleblower（内部告発者）提出システムです。バージョン2.5.0から2.16.0の間、`Journalist Interface` は `SessionInterface` が各リクエストで変更され、リクエスト間で永続化するミュータブルなセッションキープレフィックスを保持しているため、`web UI` に対して `API session` トークンを受け入れることができます。バージョン2.5.0以降では API と web のセッションは `Redis` で分離されていましたが、プレフィックスの破損によりこれらのセッション名前空間が混乱します。すでに機密性の高い `Journalist Interface` の onion アドレスへのアクセス権限と必要な認証アクセストークンを持ち、かつ期限切れではない最新の `API session` トークンを保有している攻撃者は、そのトークンの自然な有効期限（最大8時間）まで、そのトークンを `web UI` に対して再利用することができます。また、破損したプレフィックスにより、ログアウト時に正しい `Redis` セッションが削除されない場合もありますが、通常の有効期限は依然として適用されます。侵害されたジャーナリストは暗号化された提出物にアクセスし、情報源の提出物に対して広範な操作を実行できますが、この問題は平文での提出物の露出や実行中のシステムの可用性には影響しません。本問題はバージョン2.16.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.