Okta Patches Auth0 and Access Gateway Vulnerabilities Let Attackers Enable XSS, Authentication Bypass and SQL Injection
2026/09/11 gbhackers — 2026年9月8日に Okta が公表したのは、Auth0 AD/LDAP Connector および Okta Access Gateway に影響を及ぼす 3 件の脆弱性 CVE-2026-85982／CVE-2026-78626／CVE-2026-78623 に関する情報と、これらに対するセキュリティ・アップデートのリリースである。これらの脆弱性を悪用する認証済みの攻撃者は、特定の導入条件下で、蓄積型クロスサイト・スクリプティング (XSS)／Protected Rules による認可制御のバイパス／設定済みのバックエンド・データベースに対する SQL コマンドが実行される可能性などがある。
これらの脆弱性の影響を受ける Auth0 AD/LDAP Connector／Okta Access Gateway を使用する組織にとって必要なことは、ディレクトリ属性／Protected Rules／カスタム SQL を使用する Advanced Mode のデータストアのアップグレードを優先することである。
Auth0 AD/LDAP Connector に存在する Critical の蓄積型 XSS
最も深刻な脆弱性 CVE-2026-85982 (CVSS v3：9.0 Critical) は、8.0.0 未満の Auth0 AD/LDAP Connector に影響する。この脆弱性は、Auth0 AD/LDAP Connector Admin Panel の検索結果／アップデータ・ログに表示される不適切な HTML エンコードに起因する蓄積型クロスサイト・スクリプティング (XSS) の欠陥であり、Web ページ生成時における入力の不適切な無害化 (CWE-79) に分類されている。
接続されたユーザー・ディレクトリへの認証済みアクセス権や、ユーザーが編集するディレクトリ属性の変更権限を持つ攻撃者が、それらのフィールドに対して悪意のスクリプトを挿入する可能性がある。また、Connector をホストするシステム上の低権限のローカル・ユーザーが、アップデータのログデータに対して悪意のあるコンテンツを挿入する可能性もある。ペイロードが実行されるのは、管理者が Connector の管理インターフェイスでディレクトリ検索結果／更新ログを開いたときである。
攻撃に成功した攻撃者は、セッションの窃取／被害者のブラウザを介した不正管理操作／インターフェイスの改変／管理者が閲覧可能な機密データへのアクセスが可能になる。Okta が CVE-2026-85982 の修正として推奨しているのは、”auth0/ad-ldap-connector” パッケージを 8.0.0 以降へアップグレードすることである。
さらに Okta は、Okta Access Gateway 2026.9.1 未満に存在する、認可バイパスの脆弱性 CVE-2026-78626 (CVSS v3：8.1) を修正した。この脆弱性は、不適切な認可 (CWE-863) に分類されており、製品の Protected Rules による認可チェックにおける不適切な入力の無害化／正規表現の評価に起因する。Protected Rules は、指定されたアプリケーション・リソースに対してアクセス制限を適用するための機能である。
この脆弱性の悪用に際して必要となるのは、管理者が 1 つ以上のリソースに Protected Rules ポリシーを設定していること、攻撃者が対象アプリケーションに割り当てられた有効な認証済みアカウントを持っていることである。Okta によると、アプリケーションにおける権限レベルにかかわらず、攻撃者は設定された認可制御をバイパスする可能性がある。
この問題は、レガシー・アプリケーション／オンプレミス・アプリケーションに対して、Access Gateway によりリソース単位のきめ細かな保護を適用している組織において特に懸念される。管理者に求められるのは、Protected Rules が機密性の高いパス／管理パネル／重要なアプリケーション機能を保護している状況を確認し、影響を受ける Access Gateway のバージョンを 2026.9.1 以降へアップグレードすることである。
3 件目の脆弱性 CVE-2026-78623 (CVSS v3：7.7) は、Okta Access Gateway の Advanced Mode におけるデータストア設定に存在する SQL インジェクションの脆弱性である。この脆弱性は、SQL コマンドに使用される特殊要素の不適切な無害化 (CWE-89) に分類されている。
この脆弱性は、カスタム・データベース・クエリ文字列へ挿入する前の段階で、Access Gateway が SAML アサーション値を無害化しないことに起因する。その後にクエリは準備されるが、攻撃者が制御するアサーション値は、クエリの準備処理より前に文字列へ展開されるため、設定済みのバックエンド・データベースに対して意図しない SQL コマンドが実行される可能性がある。
この脆弱性の悪用には、SAML アサーション属性を参照するカスタム SQL クエリを設定した Advanced Mode のデータベース・データストアが必要となる。また、攻撃者は参照されるアサーション属性のうち、少なくとも 1 つの値を制御できる有効な認証セッションを持っている必要がある。
組織に推奨されるのは、Access Gateway アプライアンスを 2026.9.1 以降へアップグレードすることである。セキュリティ・チームに求められるのは、カスタム SQL データストア・クエリの監査／クエリ入力として使用される SAML 属性の特定／可能な限りアサーション値を厳密に検証された形式へ制限することである。
Auth0 AD/LDAP Connector および Okta Access Gateway における脆弱性 CVE-2026-85982／CVE-2026-78626／CVE-2026-78623 は、クロスサイト・スクリプティング／認証バイパス／SQL インジェクションなどを引き起こすものです。管理画面からの不正スクリプトの実行や、認可制御の回避、バックエンド・データベースへの意図しないコマンド実行のおそれがあり、対応策として製品のアップデートの実施／カスタムクエリの監査や属性値の検証が推奨されます。
IoT OT Security News 
You must be logged in to post a comment.