つみかさね

CVE-2021-38299

Critical(9.8)

Webauthn Frameworkの認証バイパス CVE-2021-38299：影響範囲と対応方法

公開日: 2026-11-07データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Webauthn Frameworkweb-auth3.3.x < 3.3.4

対応ガイド

high|対応必須セキュリティ修正影響: 限定的

推奨アクション

  1. 1`composer show web-auth/webauthn-framework` でバージョンを確認する
  2. 2v3.3.4以降へアップデートする
  3. 3アップデートが難しい場合は端末の管理状態を見直す

影響対象

Webauthn Framework利用者

対応不要な人

  • ✓Webauthn Frameworkを使用していない
  • ✓すでにv3.3.4以降を使用している

補足

  • -FIDO2認証器を使ったログインフローを提供しているサービスは優先的に確認してください
CVEWebauthn FrameworkPHP認証バイパス

30秒で判断

  • 対応すべき人: PHP用の Webauthn Framework（web-auth/webauthn-framework）3.3系を利用している人
  • 対応不要な人: Webauthn Frameworkを利用していない、またはすでに3.3.4以降を利用している人
  • 確認コマンド: composer show web-auth/webauthn-framework でバージョンを確認

概要

Webauthn Framework 3.3.x（3.3.4未満）、5.0.x、5.1.xには、アクセス制御の不備（CWE-287）があります。ユーザーの端末を制御できる攻撃者が、接続されたFIDO2認証器を使ってログインする際、本来必要なユーザー存在確認（user presence）のチェックを経ずにログインできてしまいます。2021年に報告されたCVEですが、本日NVDで情報が更新されています。

CVSSベクトル

項目値
Attack Vector記載なし（NVDのCVSSスコアのみ公開）
スコア9.8 (Critical)

影響を受けるソフトウェア

製品影響バージョン
Webauthn Framework3.3.x < 3.3.4

修正バージョンと回避策

  • v3.3.4 以降へアップデートしてください。
  • アップデートが難しい場合は、ユーザーの端末が攻撃者に制御されるリスク（マルウェア感染端末の利用など）を減らす運用上の対策を検討してください。

関連リンク

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-31862claude-code-uiのコマンドインジェクションCVSS 9.8CVE-2026-45109Next.jsのミドルウェア/プロキシバイパスCVSS 7.5

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2021-38299
GitHub:https://github.com/web-auth/webauthn-framework/releases
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。