CVE-2026-103956 - Loom for AWS - 重大 - 認証バイパス - IdPが設定されていない場合、未認証のスーパー管理者
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · cve-2026-103956-loom-unauth
Loom for AWS < 1.6.1 - AWS Labs
Cognito が未設定で、有効な外部 IdP も存在しない場合、get_current_user はすべてのリクエストに t-admin / g-admins-super を付与します。これには Authorization ヘッダーのないリクエストも含まれます。IdP のセットアップ前の新規デプロイは、オープンな管理パネルとなります。
| ID | CVE-2026-103956 |
| CWE | CWE-306 / CWE-1188 |
| CVSS | Critical: 10.0 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| Product | Loom for AWS |
| Affected | < 1.6.1。ラボのピンは v1.6.0 (8c658d61)。v1.6.1 (ccad5665) で修正済み。 |
| Auth | 未認証 |
| Class | 認証バイパス / 未認証スーパー管理者 (ATO) |
| Reach | リモート (未認証) |
| License | GNU Affero GPL v3.0 |
| Lab | 127.0.0.1 のみ |
攻撃者は資格情報を一切持たずにエージェントのコントロールプレーンを掌握します。
GET /api/auth/me は username=local-dev、sub=local、グループ t-admin と g-admins-super を返します。GROUP_SCOPES のすべてのスコープがその ID とともに付与されます。POST /api/mcp/servers が 201 を返します。MCP、A2A、エージェント、メモリ、セキュリティ、設定、資格情報、管理監査は同じ依存関係の背後にあります。GET /api/mcp/servers/{id}/export は admin:write です。このピンでは SQLite から oauth2_client_secret を返します。CVE の記述では、管理対象エージェントロールの IAM ロールポリシーの書き換えも挙げられていますが、その経路は AWS を必要とし、このループバックラボの範囲外です。v1.6.1 では LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV とループバッククライアントが必要です。同じリクエストは 401（No identity provider configured）になります。
AWS は CVE-2026-103956 を GHSA-vgmj-998f-r8mp および bulletin 2026-124-AWS とともに公開しました。私は awslabs/loom v1.6.0 (8c658d61) を v1.6.1 (ccad5665) と並べてピンし、LOOM_COGNITO_USER_POOL_ID を未設定にして SQLite 上でバックエンドを実行しました。
backend/app/dependencies/auth.py の get_current_user は Cognito の環境変数と有効な IdP 行を確認します。両方とも空の場合、UserInfo(sub="local", username="local-dev", groups=["t-admin", "g-admins-super"], scopes=ALL_SCOPES) を返します。トークンは一切読まれません。
私はループバック 127.0.0.1:18180 (v1.6.0) と 18181 (v1.6.1) で素の FastAPI を立ち上げました。フロントエンドなし。AWS なし。1.6.0 では未認証の GET /api/auth/me がそれらのグループとともに 200 を返しました。oauth2_client_secret=CVE-2026-103956-WITNESS を付けた未認証の POST /api/mcp/servers は 201 を返しました。GET /api/mcp/servers/1/export はそのシークレットを返しました。1.6.1 では同じ /api/auth/me が 401 でした。
SUCCESS CVE-2026-103956 me-http=200 me-user=local-dev me-sub=local me-groups=t-admin,g-admins-super mcp-create=201 export-has-secret=yes list-has-witness=yes patched-me-http=401 CVE-2026-103956-WITNESS
誤ったターンはすでに記録済み: public.ecr.aws/docker/library/python:3.13-slim は Docker Hub の python:3.13-slim に対してスキップされた; v1.6.0 での最初の /health は uvicorn がバインド中に curl 52 となり、その後 200 になった; MCP の作成スキーマは最初の POST で一致し、422 のリトライはなかった。リバースシェル。芝居。オラクルは /api/auth/me とエクスポートされたシークレットである。
cd lab
./run.sh
対象は http://127.0.0.1:18180（v1.6.0）と http://127.0.0.1:18181（v1.6.1）のみです。run.sh はそれらのタグをシャロークローンし、両方のバックエンドをビルドしてからスタックを破棄します。SQLite。Cognito の環境変数なし。パッチ適用済みサービスに LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV なし。
1.6.1 以降にアップグレードしてください。AWS は関連する SSRF/トークンの問題に対して 1.7.0 を推奨しています。1.6.1 のバイパスはオプトインかつループバック限定です。それまでは、バックエンドがループバックを越えて到達可能になる前に Cognito または外部 IdP の設定を完了し、デプロイされたものでは LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV を未設定のままにしてください。
backend/app/dependencies/auth.py（get_current_user）