Oktaが認証製品とSDKの脆弱性を公表 Windows資格情報プロバイダーとauth0.js

ID管理サービスのOktaが、Windows向けの認証製品とJavaScript向けのSDKについて、2件の脆弱性を公表しました。いずれも、認証にかかわる部品の問題で、新しい版で修正されています。悪用されると影響が大きいものではありませんが、認証の基盤に近い部分のため、該当する組織は計画的に更新しておきたい内容です。

2件の脆弱性

CVE-2026-78628(Okta Credential Provider for Windows): WindowsのログインでOktaの認証を使うための製品です。Oktaによると、受け取ったデータ(資格情報のバッファ)を、中身を確かめずに解釈してしまう入力値の検証不備があります。これにより、プロセスの異常終了や、メモリの範囲外の読み書き、隣接するメモリの内容がログに出てしまうことが起こりえます。悪用には、端末にログインできる状態で、ログインや画面ロック解除の経路から細工したデータを渡すことが前提です。評価はCVSS6.0で、1.4.6.0より前の版が影響を受けます。1.4.6.0以降で修正されています。

CVE-2026-107371(auth0.js): WebアプリにAuth0のログインを組み込むためのJavaScriptのライブラリです。Oktaによると、IDトークンの中の「いつ認証したか」を示す値(auth_time)を、アプリが求めた有効期限(maxAge)と照らし合わせていませんでした。このため、求めた期限より古い認証でも、受理されてしまう可能性があります。Oktaはこれを「認証の鮮度の回避」と位置づけています。評価はCVSS5.4で、影響するのは9.12.0から10.2.1までの版です。10.3.0以降で修正されています。

影響を受けるのはどんな環境か

関係するのは、Okta Credential Provider for Windowsを端末に入れて使っている組織と、auth0.jsを使ってログインを実装しているWebアプリを持つ組織です。後者は、自社で作ったアプリだけでなく、ベンダーに作ってもらったアプリや、社内ツールの中で使われていることもあります。「使っているつもりがない」場合でも、依存するライブラリとして含まれていないかの確認が要ります。

情シスが今日やること

• 利用の有無と版を確認する: Okta Credential Provider for Windowsは端末の資産管理で、auth0.jsは自社・委託先のWebアプリの依存ライブラリの一覧で、使っているか・版はいくつかを確認します。
• 修正版へ更新する: Okta Credential Provider for Windowsは1.4.6.0以降へ、auth0.jsは10.3.0以降へ更新します。影響する版(それぞれ1.4.6.0より前、9.12.0〜10.2.1)に当たるものから進めます。
• 委託先にも確認する: Webアプリの開発を外部に任せている場合は、auth0.jsを使っていないか、使っているなら更新の予定を、委託先に確認します。
• 記録を残す: 確認した版、更新した版、対応日を資産台帳に残します。認証にかかわる部品は、どこで何を使っているかを把握しておくと、次の脆弱性のときにも動きやすくなります。

認証の基盤に近い部品は、悪用されたときの影響が広がりやすい一方、普段は意識されにくい部分です。今回はいずれも修正版が出ています。緊急の悪用は確認されていませんが、「どこで使っているか」を押さえ、計画的に更新を進めておくことが、情シスの備えになります。