OpenFGAは、キャッシュされたキーを介した認証バイパスがあります

OpenFGAのCVE-2026-33729は、1.13.1より前のバージョンに影響します。特定の条件下では、条件付きでキャッシュが有効になっているモデルでは、2つの異なるチェックリクエストが同じキャッシュキーを生成する可能性があります。これにより、OpenFGAが別のリクエストに対して以前にキャッシュされた結果を再利用し、誤った認証につながる可能性があります。認証モデルが条件評価に依存し、キャッシュが有効になっている場合、影響は大きくなります。これにより、リソースへの不正アクセスが可能になったり、正当なアクセスが拒否されたりする可能性があります。CVSSスコアはまだ決定されていませんが、誤った認証の可能性は、迅速な対応が必要です。

Organizations heavily reliant on OpenFGA for fine-grained access control, particularly those employing complex models with conditions and caching enabled, are at increased risk. This includes applications requiring dynamic authorization based on user attributes or contextual factors. Teams using older OpenFGA deployments are also more vulnerable.

• go / server:

ps aux | grep -i openfga

• go / server:

journalctl -u openfga --since "1 hour ago" | grep -i "cache key collision"

• generic web: Check OpenFGA server logs for errors related to cache key generation or unexpected authorization results. • generic web: Review OpenFGA model configurations to identify those utilizing conditions and caching.

1. 2026-03-27Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-03-27
3. 更新日2026-03-30
4. EPSS 更新日2026-04-03

この脆弱性の解決策は、OpenFGAをバージョン1.13.1以降にアップグレードすることです。このバージョンには、条件付きでキャッシュキーの重複生成を防ぐ修正が含まれています。すぐにアップグレードできない場合は、認証モデルでキャッシュを無効にすることを検討してください。ただし、これによりパフォーマンスが影響を受ける可能性があります。条件評価に依存する認証モデルを特定し、これらのモデルでキャッシュを無効にするかアップグレードすることを優先することが重要です。アップグレード後、認証システムを監視して、脆弱性が修正され、システムが期待どおりに動作することを確認してください。