CVE-2026-97055 in SigNoz
要約
〜によって VulDB • 2026年09月24日
SigNoz の v0.8.0 から v0.143.0 未満のバージョンでは、JWT トークナイザーの署名用シークレット（`tokenizer::jwt::secret`。環境変数 `SIGNOZ_TOKENIZER_JWT_SECRET` または非推奨の `SIGNOZ_JWT_SECRET` を介して設定）がデフォルトで空文字列に設定されており、さらに `Config.Validate()` がこの空値を拒否しないため、シークレットを設定せずに展開された環境では起動し、HMAC キーとして空キーを使用してセッショントークンの署名および検証が行われます。JWT トークナイザーはデフォルトのプロバイダーであったため、このような展開環境はすべて影響を受けます。既存のユーザー ID を知っている認証不要攻撃者は、ID、orgId、email の各クレームを空キーで署名することで、そのユーザー（管理者を含む）の有効なセッショントークンを偽造できます。組織 ID およびメールアドレスが登録されているかどうかは、`/api/v2/sessions/context` から認証なしで取得可能です。偽造されたリフレッシュトークンは `/api/v2/sessions/rotate` で新しいトークンペアと交換でき、取り消すことができないため、有効期間（デフォルトでは 30 日）全体を通じて使用可能となります。v0.143.0 で修正されており、jwt プロバイダーが選択された場合に JWT シークレットを要求し、デフォルトのプロバイダーを opaque に変更しています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.