30秒で判断
- 対応すべき人: openshift/oauth-proxy をアプリの認証前段として利用しており、上流が WSGI / PHP フレームワークの環境
- 対応不要な人: oauth-proxy を使用していない、または修正版へ更新済みの環境
- 確認コマンド: oauth-proxy のイメージバージョンと、上流アプリのフレームワーク（WSGI/PHP か）を確認
概要
openshift/oauth-proxy に、ヘッダスマグリングによる ID 偽装の脆弱性（CVSS 8.5）が見つかりました。
プロキシは認証済み ID ヘッダをダッシュ変種のキー（X-Forwarded-User）でのみ設定する一方、受信リクエストからアンダースコア変種（X_Forwarded_User）を除去していません。WSGI や PHP のフレームワークは両変種を同一の変数へ正規化するため、低権限の認証済みユーザが偽装した ID を送り込み、上流アプリで正規の認証済み ID を上書きできる可能性があります。
oauth-proxy は「認証はプロキシ側で完結し、上流アプリは付与されたヘッダを信頼する」という前提で使われることが多く、その信頼関係を突く形で他ユーザへのなりすましが成立し得ます。結果として、上流アプリの認可判断が偽装 ID に基づいて行われ、本来アクセスできないデータや操作に到達される恐れがあります。上流が WSGI（Django/Flask 等）や PHP の場合に特に影響を受けやすいため、まずは構成を確認し、修正版の適用と前段でのヘッダ除去を併せて検討することを推奨します。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | Low |
| CVSSスコア | 8.5 (High) |
影響を受けるソフトウェア
| 製品 | 備考 |
|---|---|
| openshift/oauth-proxy | 修正版は RHSA 参照 |
修正バージョンと回避策
- 対策: Red Hat 提供のセキュリティパッチ（RHSA-2026:50681 系ほか）を適用
- 暫定対策: 上流やフロントのプロキシでアンダースコア変種の ID ヘッダを明示的に除去する
関連リンク
データソース: NVD (NIST), Red Hat Security Advisory AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。