JetBrains Patches Critical Hub Authentication Bypass and Account Takeover Vulnerabilities
2026/07/02 gbhackers — JetBrains が公開したのは、JetBrains Hub における複数の深刻な脆弱性に対するパッチである。これらの脆弱性を悪用する攻撃者は、認証の完全な回避／アカウント乗っ取りなどに加えて、統合された JetBrains サービス全体にわたる認可されていない権限昇格を引き起こす可能性がある。管理者に求められるのは、Hub インスタンスを直ちにアップデートすることである。
Hub の重大な脆弱性
JetBrains の最新の fixed-issues bulletin では、Hub に影響を及ぼす 3 件の深刻な脆弱性が明らかにされている。YouTrack／TeamCity／JetBrains サービス向けにユーザーを認証する Hub は、ID およびアクセス管理における中核コンポーネントである。
これら 3 件の問題は、すでに Hub バージョン 2026.1.13757 で修正されている。また、Long-Term Support (LTS) ブランチに対しても、2025.3.148033／2025.2.148048／2025.1.148120／2024.3.148430／2024.2.148429 がバックポートされている。
CVE-2026-56141：予測可能な Restore Code とアカウント乗っ取り
最も深刻な脆弱性 CVE-2026-56141 は、研究者 Ngoc Thuan によって報告されたものである。この脆弱性を悪用する攻撃者は、Hub のアカウント回復フローで使用される restore code を予測することで、アカウント乗っ取りが可能になる。
JetBrains によると、Hub の回復メカニズムは、十分なランダム性を欠く restore code を生成している。その結果として、CWE-338 (暗号学的に弱い疑似乱数生成器の使用) に分類される脆弱性が生じていた。
この弱点を突く攻撃者は、関連するユーザー名やメール・アドレスを推測し、restore code を総当たりすることで、高権限 ID を含むアカウントを乗っ取ることが可能である。
複数の JetBrains サービスの ID プロバイダーとして機能する Hub であるため、単一のアカウントが侵害されるだけで、issue tracker／CI/CD サーバといった、各種の統合システム／プラットフォームに対する不正アクセスにつながる可能性がある。
すでに JetBrains は、パッチ済みリリースにおいて restore code の生成を強化している。ユーザーに対して推奨されるのは、インターネットに公開されている Hub 環境や、マルチテナントの Hub 展開に対して、この更新を高優先度で扱うことである。
CVE-2026-56142：付随する認証詳細による権限昇格
2 件目の深刻な脆弱性 CVE-2026-56142 (CWE-915：動的に決定されるオブジェクト属性の不適切に制御された変更) は、安全でない方法でアカウントへの認証詳細の付加を許すものである。
認可されていない権限昇格を達成した認証済みユーザーが、自身のアカウントに対して、より強力な認証コンテキストまたは ID を紐付けることが可能になると、JetBrains は説明している。
Hub が中央の Single Sign-On (SSO) ブローカーとして機能する環境では、低権限ユーザーであっても、この脆弱性を悪用することで、管理者の承認なしに管理者ロールを取得し、制限されているはずのプロジェクトやリソースへのアクセスが可能になる。
今回の修正では、認証マッピングに対するサーバ側の検証がより厳格になっている。具体的には、Hub アカウントに対して認証詳細を付加または変更する際に、適切な認可チェックが強制されるようになった。
CVE-2026-50242：管理者アクセスにつながる Hub の認証回避
3 件目の深刻な脆弱性 CVE-2026-50242 は、管理者アクセスにつながる可能性がある、直接的なデータベース・アクセス経由の認証回避の欠陥である。
この脆弱性は、CWE-306 (重要機能に対する認証の欠如) に分類されている。データベース・レベルのロジックを悪用する攻撃者は、標準のサインイン制御を回避し、機密性の高い機能またはコンフィグ・パスへ到達できる。
JetBrains は、この問題を報告した研究者 Tuan Anh Lai に謝意を示している。すでに、Hub バージョン 2026.1 で修正が実装され、2025.x / 2024.x ブランチもサポートされている。
この CVE ID は YouTrack にも適用される。それが示すのは、Hub と統合されている場合に、同様の認証回避が発生する可能性であり、JetBrains エコシステム全体にわたる共有リスクである。
Hub は、複数の JetBrains 製品にまたがる認証と認可の基盤であるため、これら 3 件の脆弱性が悪用されると、開発基盤および DevOps 基盤が完全に侵害される可能性がある。
Hub の管理者権限を得た攻撃者および、高権限アカウントを乗っ取った攻撃者は、YouTrack や TeamCity などの接続済みサービスへアクセスできるだけでなく、機密性の高いプロジェクト・データへアクセスし、CI/CD パイプラインを操作することも可能になる。
JetBrains がユーザーに対して強く推奨するのは、Hub をバージョン 2026.1.13757／2025.3／2025.2／2025.1／2024.3／2024.2 ブランチ向けの、最新パッチの速やかなアップデートである。また、bulletin に記載された修正版へのアップデートの完了を、統合されている全製品についても確認すべきである。
セキュリティ・チームは、インターネットに公開された Hub インスタンスの更新を優先し、機密性の高い認証情報をローテーションし、異常なアカウント回復または認証マッピング活動について監査ログを見直す必要がある。さらに、パッチ適用前の悪用による潜在的リスクを軽減するために、強力な Multi-Factor Authentication (MFA) を強制すべきである。
訳者後書：複数の開発支援ツールを繋ぐ認証管理システムにおいて、アカウントの乗っ取りや、確認手続きの回避を引き起こす、複数の深刻な欠陥 CVE-2026-56141／CVE-2026-56142／CVE-2026-50242 が修正されました。この問題の背景には、暗号化に用いる符号の予測されやすさや、情報の登録時における検証処理の甘さといった、設計上の隙があります。もし、これらを悪用されると、本来は制限されているはずの最上位権限を第三者に奪われ、設計データが盗まれたり構築工程を書き換えられたりする重大な被害に繋がります。対応策として、まずは利用している共通の管理ソフトを最新版へ速やかに更新してください。その上で、多要素認証の必須化や不審な履歴の確認を行うことが大切です。よろしければ、JetBrains での検索結果も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.