Alluxio の S3 REST プロキシが既定で AWS 署名を検証せず、任意のユーザーになりすませる

Critical（CVSS 9.8）に分類されるAlluxio Alluxio の S3 REST プロキシ（alluxio.proxy.s3）。VulnCheck のアドバイザリでの該当範囲は 2.9.5 以下。関係する設定は `alluxio.s3.rest.authentication.enabled`（既定 false）と `alluxio.security.authentication.type`（既定 SIMPLE）の脆弱性です。**Alluxio の S3 互換 REST プロキシが、既定の設定では AWS Signature Version 4 の署名を検証しない。** NVD の記述によれば、未認証の攻撃者は**署名されていない `Authorization` ヘッダからユーザー名を取り出す**という経路で、サービスアカウントを含む任意のユーザーになりすまし、データの読み取り・書き込み・削除ができる。 **なりすましの仕組みが単純であることが、この脆弱性の怖い点である。** S3 の `Authorization` ヘッダはアクセスキーIDと署名を含む形をしている。署名を検証しない実装では、**ヘッダに書かれたユーザー名をそのまま「誰であるか」として採用してしまう**。つまり攻撃者は、名乗りたいユーザー名を自分でヘッダに書くだけでよい。鍵を盗む必要も、総当たりする必要も無い。 **該当する設定の既定値がそのまま脆弱な組み合わせになっている。** GitHub の Issue #18755 によれば `alluxio.s3.rest.authentication.enabled` の既定は **false**、`alluxio.security.authentication.type` の既定は **SIMPLE** である。**何も設定しないまま立てたプロキシが、この状態になる。** **評価値**は VulnCheck（disclosure@vulncheck.com）の CVSS 3.1 が **9.8**（AV:N/AC:L/PR:N/UI:N/S:U/**C:H/I:H/A:H**）、CVSS 4.0 が **9.3** である。機密性・完全性・可用性のすべてが High なのは、なりすました相手の権限で削除までできるためだ。CISA KEV には収載されていない。 **このサイトの掲載枠としては (A)（High/Critical かつ CVSS>=7.0）に該当する。**

**修正版のバージョン番号は、確認時点で公表されていない。** VulnCheck のアドバイザリは該当範囲を「alluxio <= 2.9.5」とだけ示し、修正版の項目は空である。**したがってこの脆弱性は「更新すれば終わり」の形になっていない。** 設定と到達制御で塞ぐことになる。 **最優先の対処は、署名検証を有効にすることである。** ```properties # alluxio-site.properties alluxio.s3.rest.authentication.enabled=true ``` **この設定は既定で false なので、明示的に書かない限り有効にならない。** 設定を変えたらプロキシの再起動が要る。有効化後は、クライアント側が正しい署名を送れているかを必ず確認してほしい。**署名検証を入れると、それまで素通りしていたクライアントは 403 で弾かれるようになる。** 動かなくなること自体は正しい挙動だが、無停止で切り替えたい場合は検証環境で先に確かめる。 **次に、到達できる範囲を絞る。** S3 REST プロキシは、そもそもインターネットへ直接出す性質のものではない。ファイアウォール・セキュリティグループ・NetworkPolicy で、**プロキシへ接続してよいのはどのサブネット・どの Pod かを明示する**。署名検証を有効にしたあとでも、到達制御は併せて入れておくのが望ましい。 **`alluxio.security.authentication.type` を見直す。** 既定の `SIMPLE` は、クライアントが名乗ったユーザー名をそのまま信じる方式である。Kerberos など、実際に本人であることを確かめる方式に切り替えられるなら、なりすましの前提そのものが崩れる。**ただしこれは環境全体に影響する変更なので、S3 プロキシだけの事情で即断しない。** **侵害の確認をどう行うか。** なりすましは正規の API 呼び出しとして記録されるので、「異常なリクエスト」としては現れにくい。見るべきは次の点である。 - **アクセス元のIP**。本来そのユーザー名で呼ぶはずのないホストからの呼び出しが無いか - **サービスアカウント名義の操作の時刻**。バッチの実行時刻から外れた時間帯の読み書きが無いか - **削除の記録**。完全性・可用性への影響が High なのは削除ができるためで、意図しない削除が最も直接的な痕跡になる **プロキシがインターネットから到達できる場所に置かれていた期間があるなら、その期間に置かれていたデータは外部へ出た可能性を前提に扱う。** 署名検証が無効なら、アクセスキーの漏えいが無くても読める状態だったからである。

Alluxio Alluxio の S3 REST プロキシ（alluxio.proxy.s3）。VulnCheck のアドバイザリでの該当範囲は 2.9.5 以下。関係する設定は `alluxio.s3.rest.authentication.enabled`（既定 false）と `alluxio.security.authentication.type`（既定 SIMPLE） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-79787）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。