--- title: "Grav の Clockwork プロファイラ認証バイパス CVE-2026-117604（CVSS v3.1 7.5／v4.0 8.7）: 認証なしで管理者の平文パスワードなどを読める。1.7.53.6 で修正" url: https://n-t-p.io/worldsecurity/articles/grav-clockwork-profiler-loopback-authorization-bypass-1-7-53-3-before-1-7-53-6-cve-2026-117604 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-117604 --- # Grav の Clockwork プロファイラ認証バイパス CVE-2026-117604（CVSS v3.1 7.5／v4.0 8.7）: 認証なしで管理者の平文パスワードなどを読める。1.7.53.6 で修正 > **TL;DR:** Grav 1.7.53.3 以上 1.7.53.6 未満の CVE-2026-117604（v3.1 7.5／v4.0 8.7）。Clockwork プロファイラの認可判定がループバック前提で、同一ホストのリバースプロキシの背後では認証なしで /__clockwork/ の記録（管理者の平文パスワード等）を読めるとされる。KEV なし、EPSS 0.31%。1.7.53.6 で修正。 **要点** - Grav 1.7.53.3 以上 1.7.53.6 未満に、Clockwork プロファイラの認可バイパス CVE-2026-117604 がある（CVSS v3.1 7.5／v4.0 8.7） - 認証は不要とされ、同一ホストのリバースプロキシの背後では外部のリクエストがループバックに見え、/__clockwork/ の記録（管理者の平文パスワードや設定上の認証情報を含みうる）を読める - KEV 掲載なし、EPSS 0.31%（11/1）。実際の悪用は未確認。NVD 自身の評価は未実施（CVSS は CNA の値） - 1.7.53.6 以降に更新すれば修正。公式な回避策は確認できていない - 対策は、更新、デバッガー（Clockwork）の無効化、プロキシでの /__clockwork/ 遮断、ログ確認と認証情報の見直し（一部は推定） NVD は 2026-10-27 に、フラットファイル CMS の Grav に関する認可バイパス（CVE-2026-117604）を登録しました。デバッガーの認可判定（Debugger::isDebuggerRequestAuthorized()）が、接続元アドレスがループバックかどうかに依存しており、同一ホストのリバースプロキシの背後では外部からのリクエストもループバックに見えてしまうとされています。1.7.53.3 以上 1.7.53.6 より前が影響を受けます。 ## 何が起きるか - **CVE-2026-117604（認可バイパス、CWE-200）**: 認証されていない訪問者が、プロファイラ Clockwork のデータ（/__clockwork/）を読めるとされています。 - 同一ホストのリバースプロキシの背後では、外部からのリクエストの接続元（REMOTE_ADDR）がループバックに見えるため、判定をすり抜けます。 - 保存されたレコードに、管理者の平文パスワードや設定上の認証情報が含まれていた場合、読み取られるとされています。 - 認証は不要で、影響は機密性のみ（完全性・可用性への影響は付けられていません）。 - CVSS v3.1 は 7.5（High、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）、v4.0 は 8.7 です。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 修正の状況 - 影響を受けるのは **1.7.53.3 以上 1.7.53.6 より前** で、1.7.53.6 で修正されています（公式リポジトリのリリースと修正コミット、セキュリティアドバイザリで確認できます）。 - 公式な回避策は確認できていません。 ## 数値と出典（2026-11-02 時点） | CVE | 種類 | 認証 | CVSS v3.1 / v4.0 | CWE | EPSS | |---|---|---|---|---|---| | CVE-2026-117604 | Clockwork プロファイラの認可バイパス（ループバック判定） | 不要 | 7.5 / 8.7 | CWE-200 | 0.31%（パーセンタイル 23.5%、11/1） | - NVD の状態は Deferred（NVD 自身の評価は未実施）で、CVSS は CNA（VulnCheck）が付けた値です。 - KEV（CISA の悪用確認済みカタログ）には掲載がありません。実際の攻撃での悪用は確認していません。 ## severity を high とした理由 認証は不要ですが、影響は情報の読み取りに限られ、v3.1 は 7.5 です。また、同一ホストのリバースプロキシの背後でデバッガーが有効な構成が前提と読めます。EPSS は低く KEV もないため、過去の判断の基準（認証不要かつ CVSS 9.0 以上は critical、それ未満や条件付きは high）に合わせて high としています。 ## 対応として考えられること 1. Grav を使っている場合、バージョンを確認します。 2. 1.7.53.3 以上 1.7.53.6 未満であれば、1.7.53.6 以降に更新します。 3. 本番環境でデバッガー（Clockwork）が有効になっていないか確認し、不要なら無効にします（推定）。 4. リバースプロキシで /__clockwork/ への外部アクセスを遮断します（推定）。 5. 該当期間に外部から /__clockwork/ へのアクセスがなかったかログを確認し、心当たりがあれば管理者パスワードと設定上の認証情報の変更を検討します（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - デバッガーが既定で有効か、どの構成で外部から到達できるかは確認できていません（NVD の記述は同一ホストのリバースプロキシの背後）。 - 実際にどの程度の認証情報がプロファイラの記録に残るかは確認できていません。 - NVD 自身の評価は未実施で、CVSS は CNA の値です。 ## 出典 - [NVD CVE-2026-117604](https://nvd.nist.gov/vuln/detail/CVE-2026-117604) — NIST NVD - [Grav from 1.7.53.3 before 1.7.53.6 Clockwork Profiler Authorization Bypass via Loopback Fallback](https://www.vulncheck.com/advisories/grav-from-1.7.53.3-before-1.7.53.6-clockwork-profiler-authorization-bypass-via-loopback-fallback) — VulnCheck - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-117604) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/grav-clockwork-profiler-loopback-authorization-bypass-1-7-53-3-before-1-7-53-6-cve-2026-117604