30秒で判断
- 対応すべき人: Erlang/OTP の
inets（httpd）を使い、script_aliasでDocumentRoot外のCGIを配信し、mod_authでディレクトリベースのアクセス制御をかけている運用者 - 対応不要な人: inets httpd を使っていない／CGI（
mod_cgi）を利用していない／script_aliasを使っていない環境 - 確認方法: 稼働中の OTP バージョンと inets バージョン、httpd 設定内の
script_aliasとmod_authの併用有無を確認
概要
Erlang/OTP の HTTPサーバ実装である inets の各モジュール間で、パスの解決方法に不一致があります。script_alias がURLプレフィックスを DocumentRoot 外のディレクトリにマップしている場合、mod_auth は DocumentRoot 基準の相対パスでアクセス制御を評価する一方、mod_cgi は ScriptAlias で解決したパスでスクリプトを実行します。このズレにより、ディレクトリルールで保護しているはずのCGIスクリプトへ未認証でアクセスできてしまいます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSS スコア | 9.8 (Critical) |
| 攻撃元区分 (AV) | Network |
| 攻撃条件の複雑さ (AC) | Low |
| 必要な権限 (PR) | None |
| ユーザー関与 (UI) | None |
| CWE | CWE-863 (Incorrect Authorization), CWE-551 |
影響を受けるソフトウェア
| 製品 | コンポーネント | 影響バージョン |
|---|---|---|
| Erlang/OTP | inets | OTP 17.0 以降 〜 OTP 28.4.2 / 27.3.4.10 / 26.2.5.19 より前 |
| Erlang/OTP | inets（バージョン表記） | inets 5.10 以降 〜 9.6.2 / 9.3.2.4 / 9.1.0.6 より前 |
修正バージョンと回避策
- 修正版へアップデート: OTP 28.4.2 / 27.3.4.10 / 26.2.5.19（対応する inets 9.6.2 / 9.3.2.4 / 9.1.0.6）以降。
- 回避策: 即時アップデートが難しい場合は、
script_aliasによるDocumentRoot外CGI配信とmod_authの併用構成を見直し、認可を別レイヤ（リバースプロキシ等）で担保することを検討してください。
関連リンク
- NVD - CVE-2026-28808
- Erlang/OTP Security Advisory GHSA-3vhp-h532-mc3f
- CNA (erlef.org) CVE-2026-28808
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。