注目★★★★★GitHub Advisory
Arc: pprof デバッグ端点が認証不要でアクセス可能・情報漏洩と DoS リスク
30秒で把握
- 1CVE-2026-48050: Arc の pprof 端点が認証なしで公開・情報漏洩と CPU DoS が可能
- 2ヒープ・goroutine スタック・TokenInfo キャッシュが無制限取得可能
- 3v26.06.1 で pprof をデフォルト無効化・有効時は localhost 専用ポートに分離
要約
Go 製サーバーフレームワーク Arc に、認証なしで `/debug/pprof/*` エンドポイントへアクセスできる脆弱性 CVE-2026-48050 が公開された。auth ミドルウェアが `PublicPrefixes` への前方一致でトークン検証をスキップするため、ネットワーク到達可能な任意の呼び出し元がヒープダンプ・ゴルーチンスタック・認証キャッシュ (`*TokenInfo`) を取得できる。また `profile?seconds=N` や `trace` エンドポイントを利用して CPU コアを任意時間占有する DoS 攻撃も可能で、レート制限やリソース上限は存在しない。修正版 v26.06.1 では pprof 登録を環境変数 `ARC_DEBUG_PPROF=1` で無効化デフォルトにし、有効時は `127.0.0.1:6060` のローカル専用リスナーに分離する対応が行われた。
あなたへの影響
Arc を本番環境で稼働中のチームは v26.06.1 への即時アップグレードを確認し、アップグレード前の暫定措置として `/debug/pprof` へのネットワーク経路をファイアウォール等でブロックすること。
推奨：CVSS は公開されていないが、認証不要で内部状態漏洩と DoS が成立するため、影響範囲が限定的でも放置は避けるべき。