Starlette が Host ヘッダを検証せず request.url を組み直すため、URL で判定する認証が迂回される（1.0.1 未満・KEV）

Medium（CVSS 6.5）に分類されるKludex Starlette（Python の軽量 ASGI フレームワーク／ツールキット）。FastAPI をはじめ多くの Python Web アプリが内部で依存しているため、直接入れた覚えが無くても入っていることがある。Red Hat AI Inference Server など、これを同梱する製品も NVD の適用範囲に入っている。の脆弱性です。NVD の記述はこうである。「Starlette は軽量な ASGI フレームワーク／ツールキットである。**1.0.1 より前のバージョンでは、HTTP の `Host` リクエストヘッダが検証されないまま `request.url` の再構成に使われていた。**ルーティングの処理は生の HTTP パスを使うのに対し、`request.url` は `Host` ヘッダから組み直されるため、細工したヘッダによって `request.url.path` が実際に要求されたパスと食い違いうる。生の `scope` のパスではなく `request.url` を根拠にセキュリティ上の制限をかけているミドルウェアやエンドポイントは、したがって迂回されうる」。 **この案件の要点は、同じリクエストに対してアプリの中に「パスが2つ」あったことである。**ルーティングは生のパスを見て行き先を決める。一方 `request.url` は `Host` ヘッダを材料に組み立て直される。ふだんは両者が一致するので、どちらを見ても同じだと思って書ける。ところが `Host` にパスらしき文字列を混ぜ込むと、組み直した側だけが別のパスになる。**「/admin へのアクセスを弾く」という判定を `request.url` で書いていると、ルーティングは /admin へ通すのに、判定のほうは別のパスを見ていることになる。** **認証の迂回が現実的な被害である。**CISA はこの脆弱性を「HTTP リクエスト／レスポンススマグリング」として 2026-09-02 に KEV へ収載した。KEV の記述は、攻撃者が Host 部分にパスを注入して実際のパスの前に付けられること、そして**再構成した URL のパスに認証が依存している場合に認証の迂回に至ること**を挙げている。**KEV 収載は「実際に悪用が確認された」という意味である。** **CVSS は 6.5（Medium）だが、当サイトは KEV 枠で掲載している。**AV:N / AC:L / PR:N / UI:N で権限も利用者の操作も要らず、影響は C:L / I:L / A:N と見積もられている。点数だけを見れば High に届かない。しかし点数は「影響の大きさ」の指標であって「悪用される確率」の指標ではない。**実際に悪用されているものを、点数が足りないという理由で落とすのは本末転倒である。** **連鎖に注意が要る。**KEV の記述は、この欠陥が **CVE-2026-42271 と連鎖しうる**と明記している。単体の影響が Low 止まりでも、組み合わせると別の結果になりうるということである。 **依存の深さがこの案件の厄介さである。**Starlette は FastAPI の土台であり、`requirements.txt` に直接書いていない環境が多い。**「うちは Starlette を使っていない」と思っている環境こそ、まず `pip list` で確認したほうがよい。**

対応は **Starlette を 1.0.1 以上へ更新する**ことである。NVD の記述は「1.0.1 より前が対象」で、適用範囲は 0.8.3 以上 1.0.1 未満とされている。FastAPI などを経由して間接的に入っている場合は、上位パッケージの更新で Starlette が上がるとは限らないので、**更新後に実際に入っている版を確かめる**。 **更新までのあいだの回避は、コードの側で「どちらのパスを見ているか」を直すことである。**セキュリティ上の判定を `request.url` / `request.url.path` で書いているミドルウェアやデコレータがあれば、**生の `scope["path"]` を見るように書き換える**。Starlette の作者側の修正も、`Host` を検証したうえで組み直す方向のものである。自分のコードの側で URL 再構成に依存しない判定にしておけば、この経路は塞がる。 **もう1つの回避は、アプリの手前で `Host` を正規化することである。**リバースプロキシやロードバランサで、**想定しているホスト名以外の `Host` を持つリクエストを落とす**。ホスト名の許可リストは、この種の «Host ヘッダを信用してしまう» 欠陥全般に効く。Starlette には `TrustedHostMiddleware` があるので、これを入れて許可するホスト名を明示するのも有効である。ただし**認証の判定そのものを `request.url` から外すのが本筋**で、ホスト名の絞り込みは補助である。 **侵害の確認は、アクセスログの `Host` ヘッダを見る。**想定しているホスト名以外、とくに `/` やパスらしき文字列を含む `Host` が記録されていないかを探す。**多くの環境で `Host` はログに残っていない**ので、その場合はまずログの項目に `Host` を足すところから始める。認証が必要なはずのエンドポイントに、認証なしで 200 が返っている記録があれば、それが直接の証拠になる。 **KEV の是正期限は 2026-09-16 である。**米国連邦機関向けの期限だが、悪用が確認されている以上、実務上の目安としても使える。

Kludex Starlette（Python の軽量 ASGI フレームワーク／ツールキット）。FastAPI をはじめ多くの Python Web アプリが内部で依存しているため、直接入れた覚えが無くても入っていることがある。Red Hat AI Inference Server など、これを同梱する製品も NVD の適用範囲に入っている。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-48710）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/16 です。早急な対応が推奨されます。