CVE-2026-2836

概要

Cloudflare の Pingora HTTP プロキシ フレームワーク の デフォルト キャッシュキー 構成 に キャッシュ ポイズニング 脆弱性 が 発見 されました。デフォルト の CacheKey 実装 は URI パス のみ で キャッシュキー を 生成 し、Host ヘッダ（authority）など の 重要 な 要素 を 含みません。

マルチ テナント 環境 では、攻撃者 が あるテナント の キャッシュ を ポイズン し、別 の テナント の ユーザー に 悪意 ある コンテンツ を 配信 する こと が 可能 です。Cloudflare の CDN インフラ 自体 は 独自 の キャッシュキー 実装 を 使用 しており、影響 を 受けません。

技術的 な 背景

HTTP キャッシュ の キー は、同一 の リクエスト を 識別 する ため に 使用 されます。適切 な キャッシュキー には 少なくとも Host ヘッダ（authority）、URI パス、HTTP スキーム を 含める 必要 が あります。Host ヘッダ を 含め ない 場合、異なる ドメイン の 同一 パス へ の リクエスト が 同じ キャッシュ エントリ として 扱われて しまいます。

Pingora の アルファ 版 プロキシ キャッシュ 機能 の デフォルト CacheKey 実装 は URI パス のみ を 使用 しており、この 重要 な 設計 原則 に 違反 していました。

想定 される 影響

• マルチテナント デプロイメント での クロステナント データ 漏洩
• 悪意 ある コンテンツ で 共有 キャッシュ エントリ を ポイズン し、正規 ユーザー に 配信
• 攻撃者 が 制御 する レスポンス が 他 の テナント の ユーザー に 表示 される

Cloudflare の CDN インフラ は 独自 の キャッシュキー 実装 を 使用 して おり、この デフォルト を 利用 していなかった ため 影響 を 受けません。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• Pingora v0.8.0 以降 に アップグレード して ください。v0.8.0 では デフォルト の キャッシュキー 実装 が 削除 され、ユーザー が 明示的 に コールバック を 実装 する 必要 が あります
• 旧バージョン の ユーザー は 最低限 Host ヘッダ と アップストリーム ピア の HTTP スキーム を 含む 独自 の キャッシュキー を 実装 して ください
• CVE-2026-2833 および CVE-2026-2835 と 併せて v0.8.0 へ の アップグレード で 一括 対応 できます

関連リンク

• NVD
• Pingora GitHub

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。