Cocos AI 0.8.2 以前の CVE-2026-119344: TEE の証明書類が機器の身元に結び付かず、同じ検証者が信頼する別の機器の証明で誤った機器を許可される恐れ

Cocos AI（機密コンピューティング上で AI を動かす基盤）の 0.8.2 以前で、CVE-2026-119344 が 2026-11-05 に NVD に登録されました。NVD の状態は Received（受付済み）で、登録元は GitHub です。0.9.0 で対処されたと記載されていますが、「ソースコードの修正だけでは直せない」とも書かれています。

何が起きるか

Cocos AI は、TEE（信頼実行環境。CPU の中に作る、運用者からも中身が見えない隔離領域）が出す**証明書類（Evidence）**を受け取って、その機器を信頼してよいか判断します。NVD の記述では、ファームウェアのパッチ水準とソフトウェアの測定値が合っていれば証明書類を受け入れ、次の 2 点を確かめていませんでした。

• 証明書類を、許可された機器の所有者や機器固有の ID に結び付けていない。
• 失効（取り消された機器の証明）を強制していない。

このため、同じ検証者が信頼している別の機器を支配または侵害した遠隔の攻撃者が、その機器の有効な証明書類を差し替えて提示すると、誤った機器が許可されます。NVD は、この問題が機密コンピューティングの脅威モデルそのものから生じるため、ソースコードだけでは直せない、と説明しています。

項目	内容
CVE	CVE-2026-119344
弱点	CWE-346（発信元の検証が不適切）
点数（GitHub 評価 CVSS v4.0）	9.1（攻撃元区分 ネットワーク・攻撃条件 高・攻撃要件 あり・必要な権限 なし・利用者の関与 なし・機密性 高・完全性 高・可用性 なし）
影響する版	0.8.2 以前（下限は未確認）
修正版	0.9.0（ただし設定や運用の見直しも必要とみられる）

条件と注意点

• 攻撃の前提として、同じ検証者が信頼する別の機器を、攻撃者が支配または侵害している必要があります。点数でも攻撃条件は「高」、攻撃要件は「あり」です。
• 「必要な権限なし」でも、誰でも直接突けるという意味ではありません。信頼の輪の中にある別の機器を手に入れることが前提です。
• NVD の点数は GitHub が付けたもので、NVD 自身の評価はまだありません。

評価

• 基準（認証不要かつ 9 以上）では severity は critical が案です。ただし、他の機器の侵害が前提で、悪用の記載はなく、実際の影響は Cocos AI の使い方（検証者がいくつの機器を信頼しているか）で大きく変わります。high に下げるかも含めて確認します。
• FIRST の EPSS は、2026-11-06 時点でまだ算出されていません。CISA の KEV には掲載されていません（2026-11-06 に一覧を検索）。

対策として考えられること

1. Cocos AI を 0.9.0 以降に更新し、リリースノートで追加された設定（機器の ID や所有者への結び付け、失効の確認）があれば有効にします。
2. 同じ検証者が信頼する機器の集合を最小にし、不要な機器を信頼の輪から外します。
3. 機器の侵害を疑う場合は、その機器の証明を失効させ、検証者側で拒否されることを確認します。
4. 証明書類を検証した結果（どの機器の証明が通ったか）のログを確認し、想定外の機器が許可されていないかを調べます。

未確認の点

• 実際の悪用の有無（NVD の記述に悪用の記載はない）。
• GitHub の勧告 GHSA-v5m8-5wxc-vjgp、0.9.0 のリリースの中身、追加された設定の名前（本稿では開いていません）。
• 影響する版の下限、対象となる TEE の種類（記述はファームウェアのパッチ水準と測定値に触れるのみ）。
• NVD の最終評価（現在は Received で、変わる可能性があります）。