CVE-2026-5724: Authentication Bypass in go.temporal.io/server

この脆弱性は、認証されていない攻撃者がgo.temporal.io/serverのフロントエンドポートにネットワークアクセスを持つ場合に悪用される可能性があります。攻撃者は、認証なしでレプリケーションストリームを開き、設定されたレプリケーションが存在する場合、機密データを盗み出す可能性があります。この攻撃は、ワークフローの実行に関する機密情報や、Temporalサーバーの内部状態に関する情報へのアクセスを可能にする可能性があります。攻撃者は、この情報を利用して、Temporal環境をさらに侵害したり、機密データを外部に漏洩させたりする可能性があります。この脆弱性は、Temporal環境の機密性と完全性を脅かす重大なリスクをもたらします。

Organizations utilizing go.temporal.io/server for workflow orchestration, particularly those with exposed frontend ports and replication configured, are at risk. Shared hosting environments where multiple users share the same server instance are also vulnerable, as an attacker could potentially exploit this vulnerability to gain access to other users' workflows.

• go / server:

ps aux | grep 'temporal server' | grep 'AdminService/StreamWorkflowReplicationMessages'

• generic web:

curl -I <temporal_server_ip>:7233/AdminService/StreamWorkflowReplicationMessages

• generic web:

grep -r 'AdminService/StreamWorkflowReplicationMessages' /etc/temporal/temporal.yaml

1. 2026-04-10Disclosure

   disclosure

1. 予約済み2026-04-06
2. 公開日2026-04-10
3. 更新日2026-04-13
4. EPSS 更新日2026-04-18

この脆弱性への対応策として、まず、go.temporal.io/serverをバージョン1.28.4にアップデートすることを強く推奨します。アップデートが利用できない場合、一時的な回避策として、フロントエンドポートへのネットワークアクセスを制限することを検討してください。ファイアウォールルールを設定して、信頼できるネットワークからのアクセスのみを許可します。また、WAF（Web Application Firewall）を導入し、認証されていないレプリケーションストリームへのアクセスをブロックすることも有効です。アップデート後、Temporalサーバーが正常に動作していることを確認し、レプリケーションストリームが正しく認証されていることを検証してください。