BroadcomのFOSに権限制御回避の脆弱性、10.0.1未満は確認を

JVN iPediaは2026年10月15日、BroadcomのFabric Operating System(FOS)に関する脆弱性情報を掲載しました。対象は10.0.1未満で、低い権限のユーザーが、本来は管理者しかアクセスできない設定にアクセスする恐れがあります。利用企業は、稼働中の版と管理用アカウントの権限を確認する必要があります。

低権限で認証した利用者が、権限の確認を回避する恐れ

脆弱性の識別子はCVE-2026-94575です。JVN iPediaによると、Web管理フレームワークにロジックの問題があります。

悪用には、低権限ユーザーとしての認証が必要です。特定の環境条件下で、役割に応じて操作を制限するRBACのチェックを回避し、管理者専用の制限付き設定にアクセスできるとされています。

このため、未認証の第三者がそのまま悪用できる問題として扱うのは正確ではありません。一方で、低権限のアカウントだから管理者向け設定には届かない、と判断することもできません。対象版の有無に加え、誰に管理用アカウントを渡しているかが確認の焦点になります。

評価は5.7、設定の完全性への影響に注意

JVN iPediaに掲載されたNVDの評価では、深刻度を数値化するCVSS v3の基本値は5.7で、深刻度は「警告」です。攻撃元区分は「隣接」、攻撃条件の複雑さは「低」で、攻撃に利用者の関与は不要とされています。

評価上、情報や設定が不正に書き換えられない性質を指す「完全性」への影響は「高」です。一方、機密性と可用性への影響は「なし」とされています。情報の持ち出しやサービス停止と一括りにせず、管理者専用の設定に対する権限制御の問題として確認することが重要です。

特定の環境条件の詳細や、具体的な対策手順は、今回の資料には書かれていません。JVN iPediaは、ベンダ情報を確認して適切な対策を実施するよう案内しています。対象範囲の記載だけで更新先や作業方法を決めず、ベンダ情報と照合してください。

影響する会社・しない会社

• 影響する: Fabric Operating System 10.0.1未満を利用している会社。まずは対象版を利用しているかの確認が必要です。
• 影響する: 対象版で低権限の管理用アカウントを運用している会社。悪用には認証が必要なため、アカウントの利用者と権限も確認対象になります。ただし、悪用に必要な特定の環境条件の詳細は、今回の資料には書かれていません。
• 影響しない: Fabric Operating Systemを利用していない会社は、今回示された対象には該当しません。10.0.1以上も、今回記載された対象範囲には含まれませんが、他の脆弱性までないことを示すものではありません。

情シスが今日やること

1. 対象版の有無を調べます。 今日の確認着手時に、機器台帳や運用資料からFabric Operating Systemの利用機器と稼働版を洗い出してください。版を確認する管理画面のメニュー名は資料にないため、不明な機器は運用担当者や保守窓口に確認を依頼します。
2. 管理用アカウントを棚卸しします。 対象版が見つかったら、アカウント管理台帳や管理設定で、低権限ユーザーの有無、割り当てた権限、利用者を確認してください。特定の環境条件が不明な段階では、低権限であることだけを安全の根拠にしないでください。
3. ベンダ情報で対策を確定します。 保守窓口にCVE-2026-94575と稼働版を伝え、対象となる条件、推奨対策、更新が必要な場合の適用先と手順を確認します。変更作業を承認する前に、回答内容を作業記録へ残してください。
4. 関係者に確認状況を共有します。 今日の確認結果として、対象機器、未確認の版、保守窓口への照会状況を運用責任者へ知らせます。資料には対策期限が示されていないため、回答を受けた後に対策の実施日と担当者を決め、未確認のまま対応完了にしない運用にします。