--- title: "Emissary の NavAction に脆弱性（CVE-2026-54442）: CVE-2026-35571 の修正が不完全で、//ホスト名 形式のリンクが検証をすり抜ける" url: https://n-t-p.io/worldsecurity/articles/emissary-navaction-link-validation-bypass-protocol-relative-ssrf-2026-54442 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 中 cve: CVE-2026-54442 --- # Emissary の NavAction に脆弱性（CVE-2026-54442）: CVE-2026-35571 の修正が不完全で、//ホスト名 形式のリンクが検証をすり抜ける > **TL;DR:** Emissary の NavAction のリンク検証（CVE-2026-35571 の修正）が不完全だった問題 CVE-2026-54442（GitHub 評価 Medium、CVSS v3.1 4.8、CWE-918）。//ホスト名 や http:/ホスト名 の形がすり抜け、オープンリダイレクトや SSRF につながる恐れがある。8.51.0 未満が対象、修正版は 8.51.0（2026 年 10 月 29 日）。KEV 掲載なし、EPSS は未採点。 **要点** - CVE-2026-54442: Emissary の NavAction が使う正規表現 ^(https?:/)?/.* が、//evil.example や http:/evil.example を通してしまう（CVSS v3.1 4.8、CWE-918） - 結果は、外部サイトへのリダイレクトと、サーバーから内部サービスへの SSRF の恐れ。必要な権限は高く、利用者の操作も要る - 影響範囲は 8.51.0 未満、修正版は 8.51.0（2026 年 10 月 29 日）。修正後は / か ./ で始まる相対パスだけを許可し、絶対リンクは拒否される - 対応は 8.51.0 以降への更新と、更新後に絶対リンクが表示されなくなっていないかの確認 - NVD は未確認。KEV 掲載なし。EPSS は未採点（10/31） Java 製のデータ処理基盤 Emissary で、ナビゲーションのリンク検証が不完全だったとして、2026 年 10 月 30 日（UTC）に CVE-2026-54442 が公開されました。今年 1 月の修正（CVE-2026-35571 向け）の抜け道にあたります。GitHub Advisory の深刻度は Medium、CVSS v3.1 は 4.8（CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N）、CWE-918（SSRF）です。CISA の KEV には載っていません。EPSS は FIRST の API でまだ採点されていません（10/31 時点で該当なし）。 ## 何が起きるか - `NavAction` は、ナビゲーションのリンクを `^(https?:/)?/.*` という正規表現で検証していました。先頭の `https?:/` が省略可能なため、`//evil.example/...`（スキーム省略の URL）や `http:/evil.example`（スラッシュが 1 本のスキーム）が通ります。ブラウザは前者を現在のスキーム付きの外部ホストへ、後者を `http://evil.example` へ解釈します。 - 勧告は、リンクを使った外部サイトへのリダイレクト（オープンリダイレクト）と、サーバー側が内部のサービスへ要求を送らされる SSRF の恐れがあると説明しています。例として、クラウドのメタデータ用アドレスを指す `//169.254.169.254/...` を挙げています。 - 勧告の検証例は、正規表現そのものを手元で試した結果です。実際の Emissary サーバーに対する攻撃の再現ではありません。 ## 影響を受ける版と修正 - 勧告の影響範囲は Maven の `gov.nsa.emissary:emissary` の 8.51.0 未満、修正版は 8.51.0 です。元の問題（CVE-2026-35571）の修正は 8.39.0 に入っているため、この抜け道が実際に関わるのは 8.39.0 から 8.50.x と読めます（この範囲の絞り込みは本稿の推定で、勧告の記載は「8.51.0 未満」です）。 - 8.51.0 は 2026 年 10 月 29 日（UTC）にリリースされました。リリースノートに、この件の項目（Medium）があります。修正のコミットも同日（e0179f75）です。勧告の公開は翌 30 日で、リリースの約 1 日後です。 - 修正後のリンクは、`/` または `./` で始まる相対パスだけを受け付けます。URL デコードした値で検証し、`//`、スキーム、`..` や `/.` の区間、`[A-Za-z0-9/.=?&_-]` 以外の文字を含むものは拒否します。リリースノートは、これまで動いていた `http(s)://` で始まる絶対リンクも拒否され、警告ログに残ると注意しています。 ## 悪用の条件 - 8.51.0 より前の Emissary を使っている。 - 攻撃者が、ナビゲーションのリンクに細工した値を入れられる。CVSS のベクターは、必要な権限が高く（PR:H）、利用者の操作が要る（UI:R）としています。 ## 対応 1. 使っている Emissary の版を確認します。 2. 8.51.0 未満なら、8.51.0 以降へ更新します。 3. 更新後、`http(s)://` で始まる絶対リンクを使っていた画面が、拒否されて表示されなくなっていないか確かめます。警告ログも見ます。 4. すぐ更新できない場合は、ナビゲーションのリンクを設定・入力できる人を絞り、外部のホストを指すリンクがないか点検します。 ## 未確認の点 - NVD の記載は確認できていません（公開直後）。 - 悪用の報告は見つかっていません（KEV 掲載なし。EPSS は未採点）。 - 8.39.0 から 8.50.x という絞り込みは、元の修正のリリース時期からの推定です。 ## 出典 - [GitHub Advisory GHSA-c6q7-wqw2-h65w](https://github.com/advisories/GHSA-c6q7-wqw2-h65w) — GitHub - [Emissary 8.51.0 リリースノート](https://github.com/NationalSecurityAgency/emissary/releases/tag/8.51.0) — Emissary - [Emissary 修正コミット e0179f75](https://github.com/NationalSecurityAgency/emissary/commit/e0179f7558cfb09a5bbc63a2f9fcb50f899768f6) — Emissary - [GitHub Advisory GHSA-cpm7-cfpx-3hvp（元の問題）](https://github.com/advisories/GHSA-cpm7-cfpx-3hvp) — GitHub - [NVD CVE-2026-54442](https://nvd.nist.gov/vuln/detail/CVE-2026-54442) — NIST NVD - [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-54442) — FIRST - [CISA Known Exploited Vulnerabilities Catalog（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/emissary-navaction-link-validation-bypass-protocol-relative-ssrf-2026-54442