--- title: "OpenWISP Controller の CRL 取得 API に脆弱性（CVE-2026-116677）: 他の組織の CA の失効リストを取得できる" url: https://n-t-p.io/worldsecurity/articles/openwisp-controller-ca-crl-api-missing-org-scope-2026-116677 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 中 cve: CVE-2026-116677 --- # OpenWISP Controller の CRL 取得 API に脆弱性（CVE-2026-116677）: 他の組織の CA の失効リストを取得できる > **TL;DR:** OpenWISP Controller の CA の失効リスト（CRL）取得 API が、組織ごとの制限を通していなかった問題 CVE-2026-116677（GitHub 評価 Medium、CVSS v4.0 5.3、CWE-862）。別組織の管理者が連番 ID で CRL を取得できる。1.0.0 以上 1.3.2 未満が対象、修正版は 1.3.2（2026 年 10 月 23 日）。秘密鍵の漏えいや変更はなく、既定の設定では CRL は元々公開。KEV 掲載なし、EPSS 0.18%。 **要点** - CVE-2026-116677: CRL 取得 API が組織で絞らずに CA を探すため、別組織の管理者が連番 ID で CRL を受け取れる（CVSS v4.0 5.3、CWE-862） - 取れるのは発行者情報と失効シリアル番号だけ。秘密鍵の漏えいや変更はない。CRL を保護する設定の環境で影響が大きい - 影響範囲は 1.0.0 以上 1.3.2 未満、修正版は 1.3.2（2026 年 10 月 23 日） - 対応は 1.3.2 以降への更新。更新までは CA の閲覧権限を絞り、CRL への要求を点検 - NVD の評価は保留で未確認。KEV 掲載なし、EPSS は 0.18%（10/30） OpenWISP Controller（ネットワーク・Wi-Fi の管理基盤）の REST API で、認証局（CA）の証明書失効リスト（CRL）を取る処理に、組織ごとのアクセス制限が抜けていたとして、CVE-2026-116677 が公開されました。GitHub Advisory の深刻度は Medium、CVSS v4.0 は 5.3（CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）、CWE-862（認可の欠落）です。CVSS v3.1 の値はありません。CISA の KEV には載っていません。EPSS は 0.18%（10/30 時点、順位は下位 7% 付近）です。 ## 何が起きるか - 対象は `GET /api/v1/controller/ca/<整数ID>/crl` です。この処理は、CA を ID だけで探していて、ほかの API が使う「管理している組織だけに絞る」仕組みを通していませんでした。 - そのため、ある組織の管理者（CA の閲覧権限あり）が、連番の CA ID を順に試すと、別の組織の CA の CRL を受け取れます。同じ CA の詳細 API は、別組織なら 404 を返します。 - 取れるのは CRL だけです。発行者の情報と、失効した証明書のシリアル番号が分かります。CA の秘密鍵は漏れず、データの変更もできません。 - 勧告は、django-x509 の既定では CRL は誰でも取得できる設定なので、既定のままの環境で新しく増える漏えいはない、と説明しています。影響が大きいのは、`DJANGO_X509_CRL_PROTECTED = True` で CRL を保護している環境です。勧告自身は実際の影響を低いとしています（GitHub の全体の評価は Medium）。 ## 影響を受ける版と修正 - 対象は pip の `openwisp-controller` 1.0.0 以上 1.3.2 未満、修正版は 1.3.2 です。 - 1.3.2 は 2026 年 10 月 23 日（UTC）にリリースされ、リリースノートに「CA の CRL への組織をまたぐアクセスを防いだ」と書かれています。修正のコミットは 10 月 19 日から 20 日（UTC）です。 - 修正は、CA を取り出すときに組織で絞った取得処理（`self.get_object()`）を使う形です。同じ 1.3.2 には、設定のダウンロードなどに対する別の組織またぎの修正も入っています。 - 勧告の公開は 10 月 30 日（UTC）で、リリースの約 1 週間後です。NVD には 10 月 27 日に登録されましたが、評価は「Deferred」（保留）です。 ## 悪用の条件 - 1.3.2 より前の OpenWISP Controller を使っている。 - 攻撃者が、いずれかの組織の管理者としてログインでき、CA の閲覧権限を持っている。 - CRL を保護する設定にしている環境ほど、影響が大きい。 ## 対応 1. 使っている openwisp-controller の版を確認します。 2. 1.3.2 未満なら、1.3.2 以降へ更新します。 3. すぐ更新できない場合は、CA の閲覧権限を持つ管理者を必要な人だけに絞ります。 4. CRL を保護している環境では、更新前に別組織の CRL が取得されていないか、API のアクセスログで `/ca//crl` への要求を点検します。 ## 未確認の点 - 悪用の報告は見つかっていません（KEV 掲載なし。EPSS は低い値です）。 - NVD の評価は保留のままで、NVD 自身の深刻度は未確認です。上の CVSS v4.0 は GitHub の値です。 - 実際の環境での再現は確認していません。記載は勧告・リリースノート・修正コミットの内容に基づきます。 ## 出典 - [GitHub Advisory GHSA-9gh4-xw24-9xh5](https://github.com/advisories/GHSA-9gh4-xw24-9xh5) — GitHub - [OpenWISP Controller 1.3.2 リリースノート](https://github.com/openwisp/openwisp-controller/releases/tag/1.3.2) — OpenWISP - [修正コミット 9e1869e1](https://github.com/openwisp/openwisp-controller/commit/9e1869e17734a0f34bc428622d463c1a8c230720) — OpenWISP - [NVD CVE-2026-116677](https://nvd.nist.gov/vuln/detail/CVE-2026-116677) — NIST NVD - [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-116677) — FIRST - [CISA Known Exploited Vulnerabilities Catalog（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/openwisp-controller-ca-crl-api-missing-org-scope-2026-116677