CVE-2026-78387 in RansomLook
要約
〜によって VulDB • 2026年08月24日
RansomLookには、/admin/configエンドポイントを介して公開されているWebベースの構成エディタに認可の脆弱性（authorization weakness）が存在します。このエンドポイントは認証済みセッションを要求しますが、設定管理機能へのアクセスを許可する前に明示的な権限または管理者用の認可チェックを実行しません。
エンドポイントにアクセスできる低特権で認証されたユーザーは、アプリケーションのconfig/generic.jsonファイルに直接書き込まれるように作られた構成値を送信できます。影響を受ける機能により、通知、LDAP、SMTP、および一般的なアプリケーション設定を含む構成セクションの変更が可能です。攻撃が成功した場合、攻撃者はセキュリティ上重要なアプリケーション動作を変更したり、統合や通知のリダイレクトを行ったり、認証関連の構成を変更したり、外部サービスを妨害したり、RansomLookインストールの利用不能化を招く可能性があります。
構成エディタはまた、パスワード、トークン、シークレット、APIキーなどの機密値を含む構成ファイルに対して操作を行いました。影響を受けるバージョンには、認識されたシークレット値がブラウザに返されないようにするロジックが含まれていますが、不十分な認可のWeb機能を通じて構成管理を公開することは、侵害されたアカウントや低特権アカウントの影響度を大幅に高めます。
パッチは、/admin/configルートおよび関連する構成編集インターフェースを完全に削除することでこの問題を解決し、Web UIを通じたアプリケーション設定の変更を防ぎます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.