JVN（Japan Vulnerability Notes）は、2026年9月29日、Authlibライブラリにおける署名検証回避の脆弱性（JVNVU#99151548）を公表した。Authlibを利用してOAuthなどのトークン検証を実装しているアプリケーションでは、攻撃者が細工したトークンまたは応答を送信することで、署名検証を回避できる可能性がある。影響を受ける具体的なバージョン、CVE番号およびCVSSスコアについては、現時点で確認できる情報だけでは詳細は不明である。
脆弱性の詳細
JVNによると、Authlibライブラリには署名検証が回避される脆弱性が存在する。攻撃者が細工したトークンや応答を用いることで、署名の正当性確認をすり抜け、認証・認可の結果を不正に変更できる可能性がある。AuthlibをOAuthなどの認証連携で利用し、外部からトークンまたは認証サーバーの応答を受け取って検証する構成では、影響を受ける可能性がある。
本脆弱性を悪用された場合の具体的な影響は、対象アプリケーションの実装、検証処理および付与される権限に依存する。なりすまし、権限の不正取得、保護された情報への不正アクセスなどにつながるおそれがあるが、ログイン不要でのアカウント乗っ取り、機密情報の閲覧、管理機能の操作が常に可能になることまでは、現時点で確認できない。攻撃の詳細な前提条件、実際の悪用状況およびCVE番号・CVSSスコアは、詳細は現時点で不明である。
影響を受ける製品・バージョン
- JVNが示す条件に該当するAuthlibライブラリ。具体的な影響バージョンおよび修正版のバージョンは、利用している配布元の情報とJVNの最新情報を確認する必要がある
- 影響を受けるAuthlibを組み込み、OAuthなどのトークン検証または署名検証を行うアプリケーションおよびサービス
推奨される対策
- 利用しているAuthlibのバージョンを確認し、JVNおよびAuthlibの提供元が案内する修正版が公開されている場合は更新する
- Authlibを直接利用していない場合も、Pythonの依存関係、コンテナイメージ、サーバレス実行環境、パッケージ管理設定およびロックファイルを確認する
- トークンの署名検証、鍵の取得、アルゴリズムの指定、発行者・対象者・有効期限の検証が適切に実施されているか点検する。ただし、具体的な確認項目は利用する認証方式とJVN・提供元の案内に従う
- 直ちに更新できない場合は、影響を受ける認証連携やトークン受け入れ経路を限定し、可能であれば該当機能を一時停止するなどの暫定措置を検討する
- 更新後は、ログイン、トークン更新、ログアウト、APIアクセスおよび権限検証を確認し、認証関連ログに不審な成功ログイン、トークン利用、権限変更がないか調査する
日本の中小企業が今すぐ取るべき行動
- 最優先：自社システムでAuthlibを利用しているか、Python環境、コンテナ、サーバレス環境および外部委託先を含めて棚卸しする
- 利用している場合は、Authlibのバージョン、OAuthなどの利用機能、トークンの受け入れ経路および付与される権限を確認する
- JVNおよびAuthlibの提供元の情報を確認し、修正版の有無と適用手順を開発会社・保守ベンダーに確認する
- 更新までの間、認証、管理画面および重要APIのアクセスログを重点的に監視し、不審な成功ログイン、トークン利用、権限変更がないか確認する
- 更新適用後、管理者アカウント、APIキーおよび連携設定を棚卸しし、不要な権限や利用していないアカウントを整理する
CSRIからの現場アドバイス
外部認証（SSOやOAuth）を導入したシステムでは、署名検証をライブラリに依存するだけでなく、アプリケーション側の設定、例外処理およびトークンの受け入れ条件を確認することが重要である。本件では、まずAuthlibの利用有無とバージョンを特定し、JVNおよび提供元が示す影響条件に該当するかを確認したうえで、修正版への更新を進めるべきである。
例えるなら、入館証の「本物かどうかの判定」をすり抜け、偽の入館証でも受付を通過できる可能性がある状態に相当する。実際の影響は、認証連携の構成、検証処理および認証後に与えられる権限によって異なる。
まず、稼働中のアプリケーションと依存関係でAuthlibを使っているかを確認し、利用していればバージョンと更新可否を整理する。次に、保守先へJVNおよび提供元の情報に基づく更新とリリース手順を依頼する。並行して、管理者ログイン、トークン利用および権限変更のログを確認する。