注目★★★★★GitHub Advisory
FileBrowser のプロキシ認証、HTTP ヘッダー偽造で全ユーザーに昇格可能
30秒で把握
- 1FileBrowser のプロキシ認証で HTTP ヘッダー偽造により任意ユーザーに成りすまし可能・CVSS 8.1
- 2nginx + Authelia など逆プロキシ + SSO 構成は業界標準・該当環境で認可なしユーザー作成も可
- 3デフォルト設定では影響なし・プロキシ認証環境は即座にアクセスログ確認と本番版アップグレード必須
要約
FileBrowser をプロキシ認証モード (auth.method=proxy) で運用する場合、認証なしの攻撃者が HTTP ヘッダーを偽造するだけで任意ユーザー (管理者含む) に成りすまし可能だ。CVSS 8.1 の高リスク脆弱性で、存在しないユーザー名を指定すると新規アカウントが自動生成されるため、認可なしのユーザー作成も可能になる。既知の問題として技術資料に記載されていたが、公式に脆弱性として報告されるのは初めてだ。デフォルト設定 (auth.method=json) では影響を受けないが、nginx + Authelia など逆プロキシで SSO/LDAP 認証を行う構成は業界標準のため、該当環境では即時対応が必須だ。
あなたへの影響
プロキシ認証 (Authelia・Authentik・oauth2-proxy など) を使い FileBrowser を運用中のチームは、直ちにシステムアクセスログで X-Remote-User / X-Forwarded-* ヘッダーの異常値がないか確認し、想定外のアカウント作成履歴をレビューすべき。
推奨：同時に FileBrowser を最新版へアップグレード、または認証方式を json モードに変更して本番復帰する必要がある。