つみかさね

CVE-2026-1524

Critical(9.8)

Neo4jのSSO認可バイパス CVE-2026-1524：影響範囲と対応方法

公開日: 2026-08-29データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Neo4j Enterprise EditionNeo4j< 2026.02 (5.x < 5.26.22)

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1Neo4jのバージョンとOIDC/SSOプロバイダ構成（認証専用/認可用の割り当て）を確認する
  2. 2Neo4j 2026.02（または 5.26.22）以降へアップデートする
  3. 3アップデートが困難な場合は、認証専用と認可プロバイダの混在構成を見直し権限グループを最小化する

影響対象

Neo4j Enterprise Edition のSSO運用者複数OIDCプロバイダを認証/認可で使い分けている管理者

対応不要な人

  • ✓Neo4jを使用していない、またはCommunity Editionのみ利用
  • ✓SSO/OIDCを使用していない
  • ✓既に 2026.02 / 5.26.22 以降へアップデート済み

補足

  • -単一OIDCプロバイダ構成や認証・認可を分離していない構成では影響は限定的です
CVENeo4jSSO認可バイパスOIDC

30秒で判断

  • 対応すべき人: Neo4j Enterprise Edition で複数のOIDCプロバイダを構成し、認証専用と認可用を使い分けている運用者
  • 対応不要な人: Neo4jを使用していない、Community Edition利用者、SSO/OIDCを使っていない、または既に 2026.02（5.x系は 5.26.22）以降へ更新済みの方
  • 確認コマンド: Neo4jの管理画面またはneo4j.confでOIDC/SSOプロバイダ構成を確認
  • クイックアクション: Neo4j 2026.02（または 5.26.22）以降へアップデート

概要

Neo4j Enterprise Edition のSSO実装に、複数のOIDCプロバイダを組み合わせた際のエッジケースがあります。管理者が2つ以上のOIDCプロバイダを構成し、そのうち一部を「認可（authorization）プロバイダ」、別の一部を「認証専用（authentication-only）プロバイダ」として設定した場合、本来は認証のみを担うはずのプロバイダが認可情報も提供してしまう可能性があります。

認証専用プロバイダ側に、意図した認可プロバイダより高い権限を持つグループが含まれている場合、想定外の権限昇格・認可バイパスにつながります。認証と認可を別プラグインで分離している構成で、片方の機能しか持たないはずのプラグインが両方の機能を誤って提供してしまう、という問題です。

CVSSスコアは 9.8（Critical）、CWEは CWE-287（不適切な認証） / CWE-863（不適切な認可）に分類されています。

CVSSベクトル

項目値
CVSSスコア9.8
深刻度Critical
CWECWE-287 / CWE-863

影響を受けるソフトウェア

製品ベンダー影響バージョン
Neo4j Enterprise EditionNeo4j< 2026.02（5.x系は < 5.26.22）

対象: 複数OIDCプロバイダを認証専用/認可用に使い分けている Enterprise Edition 構成。

修正バージョンと回避策

Neo4j 2026.02（または 5.26.22）以降へアップデートしてください。直ちに更新できない場合は、認証専用プロバイダと認可プロバイダを混在させる構成を見直し、権限グループの割り当てを最小権限で再点検することでリスクを低減できます。

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-1524
Neo4j Securityhttps://neo4j.com/security/CVE-2026-1524

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-1524
Neo4j Security:https://neo4j.com/security/CVE-2026-1524
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。