ape-volo-admin の固定 JWT 署名鍵で管理者トークン偽造（3.6.1 で修正）

Critical（CVSS 9.8）に分類されるxianhc ape-volo-admin（.NET 製の管理画面フレームワーク）3.6.1 より前の脆弱性です。**オープンソースの .NET 製管理画面フレームワーク ape-volo-admin の 3.6.1 より前の版は、appsettings.json に JWT の署名鍵が固定値で書かれており、認証されていない攻撃者が管理者のトークンを偽造できる。** NVD に載った VulnCheck（CNA）の記述によれば、攻撃者は手元で署名したトークンの jti クレームに初期データの管理者 ID を入れるだけで、ユーザー・ロール・権限・データを扱う API を全て操作できる。 **評価値と修正。** CVSS 3.1 は **9.8 Critical**（ネットワーク経由・認証不要）。NVD の分析状況は Deferred。報告者は10月25日に GitHub の Issue #36 で報告し、作者は11月2日に「解決済み」として閉じた。NVD の参照先には V3.6.1 のリリースが挙がっている。V3.6.1 のリリースノートは「役割の割り当て・メニューリンク・レート制限・監視画面へのアクセスなどのセキュリティ問題を修正」としているが、署名鍵そのものには触れていない。 **悪用の状況。** 2026-11-04 時点で実際の悪用の報告は確認できず、CISA KEV にも未収載。報告者による解説記事が公開されており、手順は誰でも再現できる状態にある。

**3.6.1 以上へ上げ、JWT の署名鍵を自分だけの値に入れ替える。** 版を上げても、appsettings.json の鍵をサンプルのまま使い続けていれば、公開リポジトリに載っている鍵で誰でも署名できる。3.6.1 のリリースノートは署名鍵の扱いに触れていないため、**更新後も鍵の値を必ず確認する**（十分な長さの乱数にし、リポジトリや配布物に含めず、環境変数やシークレット管理サービスから読み込む）。 **3.6.1 は破壊的変更を含む。** リリースノートは設定の構造とルートが変わったとしており、デプロイ設定と呼び出し側の修正が要る。すぐ上げられない場合も、**署名鍵の入れ替えだけは先に行う**（入れ替えると発行済みのトークンは全て無効になる）。 **侵害の確認。** 管理画面を外部に公開していた場合は、身に覚えのない管理者ユーザー・ロールの追加や権限の変更、API のアクセスログに不審な操作が無いかを確かめる。 **完了条件**は、（1）全ての環境が 3.6.1 以上であること、（2）JWT の署名鍵が既定値でなく、リポジトリに含まれていないこと、の2点である。

xianhc ape-volo-admin（.NET 製の管理画面フレームワーク）3.6.1 より前 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-120442）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。