SciTokens には、不適切なスコープパスプレフィックスチェックによる認証バイパスの脆弱性があります

この脆弱性を悪用されると、攻撃者は正規のユーザーの権限を装い、本来アクセスできないはずのリソースに不正にアクセスすることが可能になります。例えば、/johnへのアクセス権を持つトークンが、/johnathanや/johnnyといった関連パスにもアクセスできてしまう可能性があります。これにより、機密情報の漏洩、データの改ざん、さらにはシステム全体の制御権奪取といった深刻な被害につながる可能性があります。この脆弱性は、類似の権限検証不備による攻撃と同様に、攻撃者による不正アクセスを容易にする可能性があります。

Applications and services that rely on SciTokens for authentication and authorization, particularly those with complex or hierarchical scope structures, are at risk. Shared hosting environments where multiple applications share the same SciTokens instance are also particularly vulnerable, as a compromise in one application could potentially impact others.

• python / application: Examine application logs for unusual access patterns or requests to sibling paths after authentication. • python / application: Review SciTokens configuration files for overly permissive scope definitions. • python / application: Monitor for modifications to src/scitokens/scitokens.py file, specifically the validatescp and validatescope methods.

import os
import hashlib

def check_scitokens_version():
    try:
        import scitokens
        version = scitokens.__version__
        print(f"SciTokens version: {version}")
        if version <= '1.8.1':
            print("WARNING: Vulnerable to CVE-2026-32716. Upgrade recommended.")
        else:
            print("SciTokens version is up to date.")
    except ImportError:
        print("SciTokens is not installed.")

check_scitokens_version()

1. 2026-03-31Disclosure

   disclosure

2. 2026-03-31Patch

   patch

1. 予約済み2026-03-13
2. 公開日2026-03-31
3. EPSS 更新日2026-04-07

最も効果的な対策は、scitokensをバージョン1.9.6にアップデートすることです。バージョンアップが困難な場合は、WAFやリバースプロキシを使用して、不正なスコープパスへのアクセスをブロックするルールを実装することを検討してください。また、アクセス制御のロジックを強化し、prefix matchではなく、より厳密なパス検証を行うように修正することも有効です。アップデート後、アクセス制御のログを監視し、不正アクセスがないか確認することで、脆弱性の影響を検証できます。