OpenFGAのBatchCheck内リクエストの重複排除が、リスト値のキャッシュキーの衝突により誤った認可決定を行う

OpenFGA の CVE-2026-34972 は、コンテキストを使用する BatchCheck 操作に影響を与えます。具体的には、単一の BatchCheck 操作内で同じユーザー/オブジェクト/リレーションシップの組み合わせに対して複数のチェックが送信され、各チェックが異なるコンテキストを含む場合、ポリシーの不適切な適用が発生する可能性があります。これにより、攻撃者が意図されたアクセス制限を回避し、通常は保護されているリソースにアクセスできるようになる可能性があります。この脆弱性の重大度は CVSS 5.0 と評価されており、中程度のリスクを示しています。脆弱性は、システムが各チェックでコンテキストを正しく評価しない場合に発生し、その結果、誤ったアクセス決定につながります。

Organizations heavily reliant on OpenFGA for access control and utilizing BatchCheck operations with context are most at risk. This includes applications with complex authorization rules and those that dynamically adjust user permissions based on contextual factors. Specifically, deployments using OpenFGA to manage access to sensitive data or critical infrastructure are particularly vulnerable.

• go / application: Examine OpenFGA logs for unusual BatchCheck requests with multiple checks for the same user/object/relation combination and differing contexts. • go / application: Monitor OpenFGA's internal metrics for anomalies in policy evaluation times or unexpected access grants. • generic web: If OpenFGA is exposed via an API, monitor API requests for patterns indicative of BatchCheck exploitation (multiple similar requests). • generic web: Review OpenFGA configuration files for any unusual settings related to context handling in BatchCheck operations.

1. 2026-04-07Disclosure

   disclosure

1. 予約済み2026-03-31
2. 公開日2026-04-07
3. 更新日2026-04-08
4. EPSS 更新日2026-04-14

この脆弱性の解決策は、OpenFGA バージョン 1.14.0 以降にアップグレードすることです。このバージョンには、コンテキスト付きの BatchCheck 操作における不適切なポリシー適用問題を修正する修正が含まれています。その間、一時的な軽減策として、同じユーザー/オブジェクト/リレーションシップの組み合わせに対して複数のチェックを BatchCheck で使用することを避け、特に異なるコンテキストを使用する場合は避けてください。BatchCheck の使用が必要な場合は、同じ操作内のすべてのチェックが同じコンテキストを持つようにしてください。OpenFGA ログを監視して異常なアクセスパターンを検出することも、潜在的な悪用を検出するのに役立ちます。