SciTokens: スコープ検証におけるパス・トラバーサルによる認証バイパス

SciTokens の CVE-2026-32727 は、Enforcer ライブラリに影響を与え、パス・トラバーサル攻撃を可能にします。バージョン 1.9.7 より前は、攻撃者が SciToken の 'scope' クレームを '..' シーケンスを使用して操作し、意図されたディレクトリ制限を回避できました。これは、ライブラリがトークンからの承認済みパスとアプリケーションからの要求されたパスの両方を 'startswith' を使用して比較する前に正規化するためです。アプリケーションが SciTokens を使用してパスに基づいてリソースへのアクセスを制御する場合、この脆弱性は攻撃者が承認されていないファイルまたはディレクトリにアクセスできるようにし、アプリケーションのセキュリティと基盤となるデータを損なう可能性があります。深刻度は CVSS 8.1 と評価されており、中程度のリスクを示しています。

Applications that rely on SciTokens for authentication and authorization, particularly those that handle user-supplied data in the scope claim, are at risk. This includes applications with custom authentication flows or those integrating SciTokens into legacy systems. Shared hosting environments where multiple applications share the same server and file system are also at increased risk.

• python / library: Inspect SciTokens library versions in your Python projects.

pip show scitokens

• python / library: Check for usage of SciTokens with potentially untrusted scope claims in your application code. • generic web: Monitor application logs for unusual file access patterns or errors related to file paths. • generic web: Implement input validation on the application side to sanitize the scope claim before processing it.

1. 2026-03-31Disclosure

   disclosure

1. 予約済み2026-03-13
2. 公開日2026-03-31
3. 更新日2026-04-02
4. EPSS 更新日2026-04-07

この脆弱性の解決策は、SciTokens ライブラリをバージョン 1.9.7 以降にアップグレードすることです。このバージョンは、パスの処理方法を修正し、パス・トラバーサル攻撃の可能性を防止します。リスクを軽減するために、できるだけ早くこのアップグレードを実行することをお勧めします。さらに、SciTokens を使用するアプリケーションコードを調べて、パス処理および入力検証に関連する他の脆弱性がないことを確認してください。ユーザー入力（トークンクレームを含む）の堅牢な検証を実装することは、一般的なセキュリティのベストプラクティスです。