SciTokens C++: 相対パスのトラバーサル脆弱性

CVE-2026-32725 は、C/C++ で SciToken を管理するために使用される scitokens-cpp ライブラリに影響を与えます。バージョン 1.4.1 より前、このライブラリはトークン内のパスベースのスコープを処理する際に、認可バイパスの脆弱性があります。ライブラリは、認可前にトークンからスコープパスを正規化し、'..' パスコンポーネントを拒否する代わりに折りたたみます。その結果、攻撃者はスコープクレーム内の親ディレクトリトラバーサルを利用して、意図されたディレクトリを超えて効果的な認可を拡大できます。これは、機密性の高いリソースへのアクセス制御に SciToken に依存するシステムで特に懸念される問題です。悪意のあるトークンにより、過剰な権限が付与される可能性があるためです。

Applications and systems that rely on SciTokens C++ for authentication or authorization, particularly those handling sensitive data or performing critical operations, are at risk. This includes systems using SciTokens C++ in custom authentication schemes or integrating it with third-party services.

• cpp / library: Examine token scope paths for ".." sequences.

if (scopePath.find("../") != std::string::npos) {
  // Reject token
  throw std::runtime_error("Invalid scope path: contains '..'");
}

• generic web: Monitor application logs for unusual file access patterns or errors related to scope path processing.

1. 2026-03-31Disclosure

   disclosure

1. 予約済み2026-03-13
2. 公開日2026-03-31
3. 更新日2026-04-03
4. EPSS 更新日2026-04-08

この脆弱性の解決策は、scitokens-cpp をバージョン 1.4.1 以降にアップグレードすることです。このバージョンは、スコープパスの処理方法を修正し、'..' コンポーネントを適切に拒否し、認可バイパスを防ぎます。scitokens-cpp を使用している開発者は、できるだけ早くアップグレードを評価することを強くお勧めします。さらに、SciToken を使用する既存の実装を調べて、パス検証に関連する他の脆弱性がないことを確認してください。パッチの適用とコードレビューは、このリスクを軽減するための重要な手順です。