etcd の認証バイパス脆弱性 CVE-2026-33413：機密クラスタ API への不正アクセス

Critical etcd Vulnerability Allows Unauthorized Access to Sensitive Cluster APIs

2026/04/14 gbhackers ‐‐‐ 世界中のバックエンド・システムの基盤として多用されている分散型キー・バリュー・ストアである etcd に存在する、深刻な認証バイパス脆弱性 CVE-2026-33413 (CVSS：8.8) を、Strix が開発した自律型 AI セキュリティ・エージェントが発見した。 この欠陥を悪用する未認証／権限不足のユーザーは、特権が必要なクラスタ操作を実行可能となる。このアクセス制御の不備を完全自律で特定した Strix は、PoC 環境を自動構築してエクスプロイトを検証した後に、メンテナへ通知した。

etcd における脆弱性の詳細

この脆弱性が深刻な影響を及ぼす範囲は、ポート 2379 のクライアント gRPC エンドポイントに対して、ネットワーク・アクセス可能な環境となる。攻撃者は、認証を必要とせずに、また、非管理者権限のトークンを用いることで、機密操作を実行できる。 

このコンポーネントは、すでに認証／認可チェックが完了していると誤認しているため、未認可の操作はバックエンド・アプライヤーにより直接処理される。

この欠陥により、以下の 3 つの重要な機能が悪用可能となる。

• Maintenance.Alarm：Nospace／Corrupt などのクラスタ・アラームの発火および解除が可能となる。
• KV.Compact：データベースのコンパクションを強制実行が可能となり、履歴データの消失やリソースの大量消費によるサービス拒否 (DoS) が引き起こされる恐れがある。
• Lease.LeaseGrant：リースの生成により、メモリなどの主要リソースが急速に枯渇する可能性がある。

Strix の技術分析により明らかになったのは、etcd サーバ・アーキテクチャの アプライヤー・チェーン における根本的な欠陥である。

認証が有効な場合には、基盤となるアプライヤーにリクエストが渡される前に、authApplierV3 と呼ばれるラッパーが権限チェックを強制する設計になっている。しかし、このラッパーは、Put／Range／Auth 管理といった標準メソッドに対応する一方で、Alarm／Compaction／LeaseGrant メソッドの処理が実装されていない。 

これらの操作を含むコア・インターフェイスを、authApplierV3 が内包しているため、未対応メソッドの呼び出しはバックエンド実装へと、そのまま渡される。RPC レイヤーは認可処理を、このアプライヤ・チェーンに依存しているため、リクエストは追加の検証なしに Raft へ転送され、そのまま実行される。

発見と対策

2026年3月3日に、Strix の AI エージェントは etcd リポジトリのスキャン開始からわずか 2 時間足らずで、この脆弱性を特定した。同社のシステムは再現可能な検証環境を自動生成し、未認証クライアントによるアラーム操作／コンパクション実行／リース生成が可能であることを実証した。 

責任ある開示が行われた後に、etcd セキュリティ・チームは迅速に問題を確認し、2026年3月のセキュリティ・リリースにて包括的なパッチを提供した。この修正により、認可チェーンに不足していた auth ラッパー・メソッドが実装され、根本的な原因が解消された。 

管理者にとって必要なことは、リクエストを内部 アプライヤーに委譲する前に、管理者権限などの権限チェックが確実に実施されるよう強制することだ。etcd を運用する組織に対して強く推奨されるのは、最新の修正版へと直ちにアップデートし、分散インフラを保護することだ。

訳者後書：この脆弱性 CVE-2026-33413 は、システムの設計上の欠陥に起因します。 etcd では、認証や認可を担う authApplierV3 という仕組みがリクエストをチェックしていますが、一部の特定の命令に対する実装が欠落していました。そのため、本来は権限が必要な操作であっても、チェックをすり抜け、バックエンド実装へと直接命令が届いてしまう状態でした。プログラムのインターフェイスが共通化されていても、中身の実装が漏れてしまうと、意図しない動作を許してしまうことがあります。ご利用のチームは、ご注意ください。