30秒で判断
対応すべき人:
- Casdoor をマルチテナント構成で運用している
- かつ 各テナントに非グローバルの組織管理者を割り当てている
対応不要な人:
- Casdoor を使用していない
- 既に修正版へアップデート済み
確認コマンド:
# 稼働中の Casdoor バージョン確認（管理画面またはコンテナタグ）
docker inspect casbin/casdoor --format '{{.Config.Image}}'
概要
Casdoor は、マルチテナント対応のID・アクセス管理（IAM）プラットフォームです。本脆弱性は、認可判定がクエリパラメータ ?id= に基づく一方、実際の操作がリクエストボディに基づく という不整合（CWE-863 不適切な認可 / CWE-269 権限管理不備 / CWE-639 認可バイパス）に起因します。
これにより、あるテナントの非グローバル組織管理者が、テナント境界を越えて 別テナントのリソースを作成・変更・削除 できてしまいます。認可チェックは ?id= で指定された対象に対して行われる一方、実際の書き込み操作はリクエストボディで指定された対象に対して実行されるため、権限のある対象で認可を通しつつ別テナントの対象を操作する、という差し替えが成立します。低い特権で悪用でき、影響範囲が自テナントを越えて他テナントに及ぶことから、CVSS は 9.9 と評価されています。第三者研究者によるPoC・技術解説が公開されています。
マルチテナントのIDプラットフォームでは、テナント分離が破られると認証・認可の前提そのものが崩れます。委任管理を行っている環境では影響が大きいため、優先度の高い脆弱性として扱うことを推奨します。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.9（Critical） |
| CWE | CWE-863 / CWE-269 / CWE-639 |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 攻撃条件の複雑さ (AC) | 低 (L) |
| 必要な特権 (PR) | 低 (L) |
| ユーザーの関与 (UI) | 不要 (N) |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| Casdoor | 開発元アドバイザリの修正版より前 |
修正バージョンと回避策
開発元のセキュリティアドバイザリに従い、修正版へアップデート してください。マルチテナントで非グローバル組織管理者を運用している環境は影響を受けやすいため、優先的な更新を推奨します。暫定的に、組織管理者へ付与している権限の範囲を見直し、テナントをまたぐ操作が想定外に許可されていないかを確認することも有効です。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。