CVE-2026-88861

概要

Capgo (Cap-go/capgo.app) には、すべてのバージョンに影響する認証バイパスが含まれています（公開時点で修正版はありません）。Edge 認可パスでは、パスワードのみの Supabase aal1 セッションが、アカウントに検証済みの MFA 要素があり、それがセッションで使用されていない場合でも、特権的な RBAC 権限を行使できるようになっています。Edge JWT ミドルウェア（`supabase/functions/_backend/utils/hono_middleware.ts` の `foundJWT()`）は、JWT の保証レベルを検証せずに受け入れ、直接 RBAC パス（`supabase/functions/_backend/utils/rbac.ts` の `checkPermission()`/`checkPermissionPg()` が `public.rbac_check_permission_direct()` を呼び出す）は、セッションの aal を渡したりチェックしたりせずにユーザー ID で認可します。これは、正しく aal2 を要求する `public.verify_mfa()` 制御とは異なります。したがって、被害者のパスワードのみを知る攻撃者は認証を行い、aal1 セッションがログアウトされた後も有効なままの永続的なアプリスコープの `app_admin` API キーを発行し、本番 OTA チャネル設定の変更（パブリックな本番チャネルをバンドル 1.0.0 から 1.0.1 に変更することで検証済み）などの特権操作を実行でき、MFA による保護を無効化します。

• secdim-assurance-drift-challengePoC

  SecDim Challenge Builder repro inspired by CVE-2026-88861: 特権資格情報境界におけるAAL1 MFAバイパス