CVE-2026-74994 OTP inets httpdサーバーのmod_authモジュールに認証設定不備
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
OTPのinets httpdサーバーで使用されるmod_authモジュールに、認証設定の不備が存在することが判明しました。detsまたはmnesia認証バックエンドを用いて複数のディレクトリ構成ブロックを設定した場合、すべてのディレクトリが単一のユーザー/グループ名前空間に統合され、あるディレクトリにユーザーを追加した場合、他のすべての保護ディレクトリでもそのユーザーが有効と判定される可能性があります。これにより、意図しないアクセス権の拡張や認証バイパスが発生するリスクがあります。影響を受けるのは、OTP 17.0～27.3.4.17、28.0～28.5.0.6、29.0～29.0.6に対応するinetsのバージョンです。確認時は、現在使用しているOTPおよびinetsのバージョンを確認し、脆弱性のあるバージョンを使用している場合は、公式のパッチ適用を検討してください。また、複数のディレクトリ構成ブロックを設定している場合、認証設定の再確認が重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質を問う。認証設定が「名前空間を統合する」という発見は、私たちのセキュリティ観に何を教えてくれるだろう？
師よ、これはまさに「一見して安全な構成が、実は共通の危険を生み出す」典型です。まず、運用者は現在のOTPとinetsのバージョンを確認すべきです。脆弱性のある範囲に該当するか、確認する必要があります。また、複数のディレクトリ構成ブロックを設定している場合、ユーザーが意図せず他のディレクトリにアクセスできる可能性があるため、認証設定を再確認する必要があります。
では、この問題が「アクセス権の拡張」を引き起こす根拠は？
例えば、AディレクトリにユーザーXを追加した場合、そのユーザーがBディレクトリにも自動的に有効と判定されるため、本来はアクセス権のない領域に侵入する危険があります。これは、設定の「見えない境界」が破られている状態です。運用者は、ディレクトリごとのユーザー管理が独立しているか、設定ファイルを精査する必要があります。
では、パッチ適用以外に、運用者が即座に行動すべき点は？
監視と変更管理ですね。例えば、ログに「異常なアクセスパターン」が記録されているかを確認し、設定変更の履歴を厳格に管理する必要があります。また、ベンダーの公式情報に目を向けることで、パッチ適用のタイミングや影響範囲を正確に把握できます。
最後に、この脆弱性が教える「倫理的教訓」は？
師よ、これは「小さな設定ミスが大きな災厄を招く」ことを教えてくれます。しかし、ユーモアを交えて言うなら…「ユーザーは招待客だが、一度入れた客は出さない」のがセキュリティの鉄則です。パッチ適用を忘れずに、そして、設定は「一目でわかるように」整理しましょう。
関連キーワード: httpd