CVE-2026-100623 Capgo Supabase ロールセキュリティ設定不備でアクセス権バイパス
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
CapgoのSupabase PostgREST経由で公開されているlegacyのメンバーシップテーブルpublic.org_usersに、行レベルセキュリティポリシーの不備が確認されました。組織管理者が特定のチェックを経ずに任意のユーザーを管理者として直接追加できるため、招待フローを完全にバイパスするリスクがあります。この脆弱性により、組織にアクセス権のないユーザーが管理者として認証され、アプリケーションやデータへの不正アクセスが可能になる可能性があります。影響を受けるのはCapgoのSupabaseを用いた環境で、特に行レベルセキュリティの設定が不完全なケースに注意が必要です。確認時は、tmp_usersテーブルの検証や招待トークンの確認が行われているか、およびRBACロールバインディングのチェックが適切に実装されているかを確認してください。現時点ではパッチが提供されていないため、セキュリティポリシーの見直しが求められます。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性は「権限のチェックが不完全である」という点で、倫理的な問いを投げかけているのではないだろうか？もし管理者が「任意のユーザーを直接追加できる」という構造が許容されるなら、システムの信頼性とは何か？
ソクラテス、その問いは重要だが、現実の管理者としての私は、まずは「tmp_usersテーブルの検証」や「招待トークンの確認」が行われているかを確認すべきだろう。この脆弱性では、RBACロールバインディングのチェックが抜けているため、例えば「tmp_users」に招待履歴が残っていないユーザーでも、管理者として認証される可能性がある。
では、この問題を解決するために、我々は「セキュリティポリシーの見直し」を強制されるのだろうか？その際、運用者は何に注意すべきだろう？
まず、CapgoのSupabase環境で「行レベルセキュリティ」が正しく設定されているかを確認する必要がある。たとえば、`public.check_min_rights`が「tmp_users」のステータスを参照しているか、招待フローのステップがRBACと整合性を持っているか。また、パッチが提供されていないため、変更管理の文書に「ポリシーの見直し」を明記し、監視ログで「org_users」への異常なINSERT/UPDATEを検出する仕組みを構築すべきだ。
しかし、この脆弱性は「すべてのバージョンが影響を受ける」という点で、運用者の責任が重くなるのではないだろうか？
その通りだが、焦って行動するより、ベンダー（Capgo）が提供する情報や、Supabaseのドキュメントで「行レベルセキュリティのベストプラクティス」を再確認することが肝要だ。たとえば、`/private/accept_invitation`の処理がRBACと連携しているかをコードレベルでチェックする必要がある。
では、この問題を「倫理」に置き換えると？権限の「正当性」を保証するためには、運用者は何をすべきだろう？
笑いながら答えよう。まず、この脆弱性を「Linux運用者の日常の風景」に置き換えると、監視ツールが「tmp_users」の変化をリアルタイムに検知し、異常を即座に通知してくれるかどうかを確認する。それが、哲学的な問いの答えかもしれない。
関連キーワード: bind