CVE-2026-91184 NGINX Gateway Fabric 認証フィルタ設定不適切でSSRF攻撃可能
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
NGINX Gateway Fabricにおいて、認証フィルタの設定値を不適切に処理する脆弱性が発見されました。攻撃者は、共有Gatewayに設定されたAuthenticationFilter CRDを通じて、任意のNGINXディレクティブを注入し、他のテナントのシークレットを読み取る、SSRF攻撃を実行する、またはルートを乗っ取る可能性があります。この脆弱性は制御平面に限定され、データ平面への暴露はございません。CVSSスコア8.8（深刻度HIGH）のため、運用中のNGINX Gateway Fabricが影響を受ける可能性がある場合は、設定の確認とパッチ適用を検討してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質を問う。認証フィルタの設定値が不適切に処理されるという点は、倫理的な「信頼」の概念にどう関係するだろう？もしシステムが設計上「信頼」を誤って解釈するなら、それがもたらすリスクは哲学的にも重大ではないか？
（苦笑）ソクラテス、その問いは説得力がありますが、現実の運用者はもっと具体的な確認をしなければなりません。まず、NGINX Gateway FabricのAuthenticationFilter CRDの設定値が「verbatim」に処理されているかを確認すべきです。たとえば、`spec.basic.realm`や`spec.jwt.realm`の値がエスケープされていないか、それを検証するための手順を確認する必要があります。
では、その確認がなぜ重要なのか？もし「不適切な処理」が許容されるなら、システムの信頼性は崩壊するだろう？
その通りです。しかし現実的には、パッチ適用の有無を確認し、変更管理の記録を確認する必要があります。また、ベンダーの公式サイトやNVDの情報を確認し、該当するバージョンがサポート終了になっていないかをチェックするべきです。もしパッチが提供されていないなら、運用継続のリスクを評価する必要があります。
では、運用者が「監視」をどう行うべきか？
監視の観点では、AuthenticationFilter CRDの設定変更をリアルタイムで検出する仕組みを構築する必要があります。たとえば、Kubernetesのリソース変更を監視するツールを活用し、異常な`realm`値の注入を検出できるようにする。また、SSRFや秘密情報の読み取りを防ぐため、ネットワークポリシーの再評価も検討すべきです。
だが、すべての確認は「手動」で行うべきか？それとも自動化の必要があるか？
（頷く）自動化は必須です。たとえば、設定ファイルの変更を定期的にスキャンし、`nginx.conf`に不正なディレクティブが注入されていないかを検出するツールを導入する。また、パッチ適用後の変更管理を厳格に記録し、影響範囲を限定する必要があります。
では、この脆弱性への対応は、倫理的な「責任」を問うものではないか？
（軽く笑い）責任はもちろんです。しかし、運用者は「責任」と「行動」を分離して考えるべきです。たとえば、CVSSスコア8.8という深刻度を踏まえ、ベンダーの情報確認を優先し、パッチ適用のスケジュールを早めることが現実的な責任です。
ならば、哲学と実践は一線を画すのか？
（肩をすくめる）いや、哲学は実践の指針を示すものです。しかし、運用者はその指針に従いながらも、現実の制約とバランスを取る必要があります。たとえば、パッチ適用が即時に行えない場合、影響範囲を限定するための緊急対応策を検討する。それが倫理的な「責任」の現実的な形です。
関連キーワード: nginx