| タイトル | sentryにおけるスプーフィングによる認証回避に関する脆弱性 |
|---|---|
| 概要 | Sentryはエラートラッキングおよびパフォーマンス監視ツールです。バージョン21.12.0から26.4.1未満のバージョンにおいて、SentryのSAML SSO実装に重大な脆弱性が発見されました。この脆弱性により、攻撃者は悪意のあるSAMLアイデンティティプロバイダと同じSentryインスタンス内の別の組織を利用して、任意のユーザーアカウントを乗っ取ることが可能です。この脆弱性を悪用するためには、被害者のメールアドレスを知っている必要があります。この問題はバージョン26.4.1で修正されました。 |
| 想定される影響 | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月8日0:00 |
| 登録日 | 2026年5月20日13:30 |
| 最終更新日 | 2026年5月20日13:30 |
| CVSS3.0 : 緊急 | |
| スコア | 9.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| sentry |
| sentry 21.12.0 以上 26.4.1 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月20日] 掲載 |
2026年5月20日13:30 |
| 概要 | Sentry is an error tracking and performance monitoring tool. From version 21.12.0 to before version 26.4.1, a critical vulnerability was discovered in the SAML SSO implementation of Sentry. The vulnerability allows an attacker to take over any user account by using a malicious SAML Identity Provider and another organization on the same Sentry instance. The victim email address must be known in order to exploit this vulnerability. This issue has been patched in version 26.4.1. |
|---|---|
| 公表日 | 2026年5月9日8:16 |
| 登録日 | 2026年5月10日4:10 |
| 最終更新日 | 2026年5月14日0:59 |