JVN iPediaは2026年10月16日、開発者ポータルを構築するためのオープンフレームワーク「Backstage」の認証部品に脆弱性があると掲載しました。対象は「@backstage/plugin-auth-backend」の0.29.2未満ですが、影響は実験的な機能を有効にし、独自の許可パターンを設定した環境に限られます。利用企業は、部品の版だけでなく、認証機能の設定も確認する必要があります。
認証完了後のコードが攻撃者に渡る恐れ
識別子はCVE-2026-73563です。種類はオープンリダイレクトで、意図しない接続先への誘導につながる問題です。
問題があるのは、実験的な「動的クライアント登録」と「クライアントIDメタデータドキュメント」に関わる処理です。両機能はデフォルトでは無効になっています。機能を有効化し、独自のワイルドカードホスト名や、プロトコルを明示しないパターンを設定した環境が影響を受けます。ワイルドカードは、名前の一部をまとめて指定するための表記です。
JVNによると、URL全体をパターンと照合する際、ホスト名のワイルドカードがURLの構成要素の境界を越えて一致する問題があります。そのため、信頼するホスト名の末尾部分をパスに含めた攻撃者のURIが、許可判定を通る場合があります。プロトコルを明示しないパターンも、意図しないプロトコルに一致する可能性があります。
被害者が認証手続きを完了すると、攻撃者がOAuth認可コードを取得する恐れがあります。OAuth認可コードは、認証・認可の手続きで使うコードです。JVNは、情報の一部が漏えいしたり、改変されたりする可能性があるとしています。
修正の初出はプリリリース版0.29.2
深刻度を数値化するCVSS v3の基本値は、NVD評価で6.1、区分は「警告」です。ネットワーク経由で攻撃でき、攻撃者の特権は不要ですが、利用者の関与が必要とされています。単に対象の版を使っているだけで、直ちに認可コードが取得されるという説明ではありません。
JVNによると、この問題が初めて修正されたのはプリリリース版0.29.2です。通常の正式版と同じ扱いで更新を進めず、ベンダー情報で修正を含む版と適用方法を確認してください。JVNも、ベンダー情報を参照して適切な対策を実施するよう求めています。
版番号の確認と設定の確認は、別々に記録すると判断しやすくなります。「古い版だから影響あり」「認証機能を使っているから対象」と一括りにせず、今回示された条件と照合することが重要です。
影響する会社・しない会社
- 影響する: @backstage/plugin-auth-backendの0.29.2未満を使い、対象の実験機能を有効化したうえで、独自のワイルドカードホスト名やプロトコルなしパターンを設定している会社です。
- 影響しない: 対象の実験機能をデフォルトどおり無効にしている環境は、今回説明された影響条件には該当しません。
- 影響しない: 対象機能を有効にしていても、上記の独自パターンを設定していない環境は、今回示された影響条件には該当しません。他の問題まで安全と保証するものではありません。
情シスが今日やること
- 開発者ポータルの管理担当者に利用部品と版を確認する。 本日中の一次確認として、Backstageの有無と、依存関係の一覧にある@backstage/plugin-auth-backendの版を回答してもらいます。Backstage本体の版だけで確認を終えないでください。
- 認証設定の実体を開いて、影響条件を照合する。 管理担当者と対象の実験機能の有効・無効、独自の許可パターンの有無を確認します。ワイルドカードを使うホスト名と、プロトコルを省略したパターンを分けて記録してください。管理画面名は記載されていませんが、設定項目として「auth.experimentalDynamicClientRegistration.allowedRedirectUriPatterns」と、「auth.experimentalClientIdMetadataDocuments」の「allowedClientIdPatterns」「allowedRedirectUriPatterns」が示されています。
- 影響条件に該当したら、更新候補と日程を決める。 開発・運用担当者にCVE-2026-73563を共有し、ベンダー情報で修正を含む版を確認してもらいます。0.29.2がプリリリース版である点も伝え、検証と本番反映の担当者・予定日を決めてください。
- 更新前後に認証の動作と設定を確認する。 正規の利用者が認証を完了できるか、許可する接続先の設定が意図どおりかを開発担当者と確認します。確認結果と適用した版を残し、一次確認で判断できなかった項目にも担当者と回答期限を付けてください。
