--- title: "ape-volo-admin 3.6.1 より前に JWT 署名鍵のハードコード CVE-2026-120442（CVSS v3.1 9.8）: 認証なしで管理者トークンを偽造され、API を全面的に操作されるおそれ" url: https://n-t-p.io/worldsecurity/articles/ape-volo-admin-hardcoded-jwt-signing-key-admin-token-forgery-cve-2026-120442 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 緊急 cve: CVE-2026-120442 --- # ape-volo-admin 3.6.1 より前に JWT 署名鍵のハードコード CVE-2026-120442（CVSS v3.1 9.8）: 認証なしで管理者トークンを偽造され、API を全面的に操作されるおそれ > **TL;DR:** ape-volo-admin 3.6.1 より前で、設定ファイルに固定された JWT 署名鍵（CVE-2026-120442、CWE-1394）から、認証なしで管理者トークンを偽造できる。CVSS v3.1 9.8（VulnCheck 評価）、KEV なし、EPSS は未算定。3.6.1 で修正。 **要点** - ape-volo-admin 3.6.1 より前の版に、設定ファイルへの JWT 署名鍵のハードコードによる認証バイパスがある（CVE-2026-120442、CWE-1394） - 認証もユーザー操作も不要。CVSS v3.1 9.8・v4.0 9.3（いずれも VulnCheck の評価）で、管理者として API を全面操作できるとされる - KEV 掲載なし。EPSS は未算定。NVD は Received で分析は未実施 - 3.6.1 で修正。更新に加え、署名鍵の固有値への変更と、旧鍵で発行したトークンの無効化を検討する（推定） - 悪用の有無と、3.6.1 の修正内容の詳細は未確認 NVD は 2026-11-02 に、.NET 製の管理画面フレームワーク ape-volo-admin の 3.6.1 より前の版で、設定ファイル（appsettings.json）に JWT の署名鍵が固定値で入っていることによる認証バイパス CVE-2026-120442 を登録しました。署名鍵が分かれば、攻撃者は手元でトークンを作り、認証なしで管理者として API を操作できるとされています。3.6.1 で修正されています。 ## 何が起きるか - **種類（CWE-1394）**: 既定の暗号鍵（署名鍵）が設定ファイルに固定で埋め込まれています。同じ鍵を使う環境では、第三者が管理者のトークンを自分で署名して作れます。 - **影響**: トークンの jti（ID）の値を初期投入された管理者の ID にするだけで、ユーザー・ロール・権限・データを API 経由で全面的に操作できるとされています。 - **評価**: CVSS v3.1 は 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、v4.0 は 9.3 です。どちらも VulnCheck による評価で、認証もユーザー操作も不要です。 - **影響範囲**: 3.6.1 より前の全版です。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | CVE | CVE-2026-120442 | | CVSS v3.1（VulnCheck） | 9.8（CRITICAL） | | CVSS v4.0（VulnCheck） | 9.3（CRITICAL） | | NVD の状態 | Received（NVD 自身の分析は未実施） | | EPSS | 未算定（FIRST の API に該当データなし） | | KEV | 掲載なし | | 修正版 | 3.6.1 | | 出典 | NVD、VulnCheck の勧告 | ## severity を critical とした理由 認証不要・ネットワーク越しで、管理者権限の取得に直結し、CVSS v3.1 が 9.8 です。過去の判断の基準（認証不要かつ 9.0 以上は critical）に合わせて critical としています。ただし、ユーザーが鍵を既定のまま使い続けている場合に限る点は、実害の見積もりで考慮が必要です。 ## 対応として考えられること 1. 組織内で ape-volo-admin を使っていないか、使っている場合は版を確認します。 2. 3.6.1 以降へ更新します。 3. 更新後は、署名鍵を環境ごとに固有の値へ変更し、旧鍵で発行されたトークンを無効にします（推定）。 4. 更新前の環境が外部公開されている場合は、アクセス元を社内ネットワークや VPN に限定します（推定）。 5. 管理 API のアクセスログで、不審な管理者操作や、見覚えのないユーザー・ロールの追加がないかを確認します（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - 3.6.1 での修正の詳しい内容（鍵の生成方式の変更など）は、本記事では確認していません。 - NVD の分析は未実施で、CVSS は VulnCheck の評価です。 - 製品の導入状況は確認できていません。 ## 出典 - [NVD CVE-2026-120442](https://nvd.nist.gov/vuln/detail/CVE-2026-120442) — NIST NVD - [VulnCheck 勧告（ape-volo-admin 3.6.1 より前）](https://www.vulncheck.com/advisories/ape-volo-admin-before-3.6.1-hardcoded-jwt-signing-key-authentication-bypass) — VulnCheck - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120442) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/ape-volo-admin-hardcoded-jwt-signing-key-admin-token-forgery-cve-2026-120442