つみかさね

CVE-2026-33186

Critical(9.1)

gRPC-Goの認可バイパス CVE-2026-33186：影響範囲と対応方法

公開日: 2026-08-28データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
google.golang.org/grpc (gRPC-Go)gRPC< 1.79.3

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1go list -m google.golang.org/grpc でバージョンを確認
  2. 2gRPC-Go 1.79.3 以降へアップデート
  3. 3アップデートが困難な場合は、影響コンポーネントへのアクセス制限などの回避策を適用する

影響対象

gRPC-Go サーバ利用者grpc/authz で認可制御しているサービス

対応不要な人

  • ✓gRPC-Go を使用していない
  • ✓既に修正版へアップデート済み

補足

  • -修正版が未提供の場合は回避策の適用と露出低減を優先してください
CVEgRPCGo認可バイパス

30秒で判断

  • 対応すべき人: gRPC-Go サーバ利用者、grpc/authz で認可制御しているサービス
  • 対応不要な人: gRPC-Goを使用していない、または既に修正版へ更新済みの方
  • 確認コマンド: go list -m google.golang.org/grpc でバージョンを確認
  • クイックアクション: gRPC-Go 1.79.3 以降へアップデート

概要

gRPC-Goのサーバがルーティングにおいて :path 疑似ヘッダの検証に寛容すぎたため、先頭スラッシュを欠いたパス（例: Service/Method）を受理していました。リクエストは正しいハンドラに到達する一方、認可インターセプタ（公式の grpc/authz を含む）は非正規化パスを評価するため、「deny」ルールが回避され認可バイパスにつながる可能性があります。

CVSSスコアは 9.1（Critical）、CWEは CWE-285 / CWE-551 に分類されています。

CVSSベクトル

項目値
CVSSスコア9.1
深刻度Critical
CWECWE-285 / CWE-551

影響を受けるソフトウェア

製品ベンダー影響バージョン
google.golang.org/grpc (gRPC-Go)gRPC< 1.79.3

対象: gRPC-Go 1.79.3 より前のバージョン

修正バージョンと回避策

gRPC-Go 1.79.3 以降へアップデート。アップデートが困難な場合は、影響コンポーネントへのアクセス制限や露出低減といった回避策の適用を優先してください。

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-33186
GHSAhttps://github.com/grpc/grpc-go/security/advisories/GHSA-p77j-4mvh-x3m3

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-33186
GHSA:https://github.com/grpc/grpc-go/security/advisories/GHSA-p77j-4mvh-x3m3
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。