| タイトル | mitmproxyにおけるLDAP インジェクションの脆弱性 |
|---|---|
| 概要 | mitmproxyはペネトレーションテスターとソフトウェア開発者向けの対話型TLS対応HTTPインターセプトプロキシであり、mitmwebはmitmproxyのウェブベースのインターフェースです。mitmproxy 12.2.1以下のバージョンでは、組み込みのLDAPプロキシ認証がLDAPサーバーにクエリを送信する際にユーザー名を正しくサニタイズしていませんでした。この問題により、悪意のあるクライアントが認証を回避できる可能性がありました。LDAPを使用したproxyauthオプションを有効にしているmitmproxyインスタンスのみが影響を受けます。このオプションはデフォルトで有効になっていません。この脆弱性はmitmproxy 12.2.2以降で修正されています。 |
| 想定される影響 | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月21日0:00 |
| 登録日 | 2026年4月27日10:47 |
| 最終更新日 | 2026年4月27日10:47 |
| CVSS3.0 : 警告 | |
| スコア | 4.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N |
| mitmproxy |
| mitmproxy 12.2.2 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月27日] 掲載 |
2026年4月27日10:47 |
| 概要 | mitmproxy is a interactive TLS-capable intercepting HTTP proxy for penetration testers and software developers and mitmweb is a web-based interface for mitmproxy. In mitmproxy 12.2.1 and below, the builtin LDAP proxy authentication does not correctly sanitize the username when querying the LDAP server. This allows a malicious client to bypass authentication. Only mitmproxy instances using the proxyauth option with LDAP are affected. This option is not enabled by default. The vulnerability has been fixed in mitmproxy 12.2.2 and above. |
|---|---|
| 公表日 | 2026年4月22日3:16 |
| 登録日 | 2026年4月25日4:03 |
| 最終更新日 | 2026年4月24日22:33 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:mitmproxy:mitmproxy:*:*:*:*:*:*:*:* | 12.2.2 | ||||