30秒で判断
- 対応すべき人: ノート・ナレッジ管理アプリ「logseq」をバージョン2.0.1または2.0.2で利用している人（特にLocal HTTP APIを有効化している場合）
- 対応不要な人: logseqを利用していない人、Local HTTP API機能を有効化していない人
- 確認コマンド: logseqのバージョン情報（ヘルプ/About画面）を確認し
2.0.1または2.0.2かどうかを確認
概要
オープンソースのノート・ナレッジ管理アプリ「logseq」に、認証不備の脆弱性が見つかりました。Electron版のLocal HTTP APIコンポーネントにある validate-auth-token 関数に問題があり、本来必要な認証が適切に行われないまま、ローカルで動作するHTTP APIにアクセスできてしまう可能性があります。リモートからの攻撃が可能とされ、この脆弱性を実証するPoCが公開されています。プロジェクト側にはGitHubのIssueで早期に報告されていますが、現時点では対応の返答がないとされています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.3 (High) |
| CVSSバージョン | 3.1 |
| CWE | CWE-287（Improper Authentication）, CWE-306（Missing Authentication for Critical Function） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| logseq | logseq | 2.0.1, 2.0.2 |
修正バージョンと回避策
現時点で公式の修正バージョン情報はデータ上確認できていません。回避策として、Local HTTP API機能を利用していない場合は無効化し、利用する場合も外部からアクセス可能なネットワークに公開しないこと、ファイアウォール等でローカルホスト以外からのアクセスを遮断することを推奨します。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。