CVE-2026-47777 — Mastodon おすすめコレクションの認可バイパス

概要

私は、Mastodon の実験的な おすすめコレクション フェデレーションパイプラインに影響を与える 高重要度の認可バイパス 脆弱性を責任ある形で開示しました。

CVE ID： CVE-2026-47777

影響を受けるコンポーネント

• ActivityPub::VerifyFeaturedItemService

脆弱性の分類

• CWE-345 — データの真正性の検証不足
• CWE-863 — 不正確な認可

CVSS v3.1

脆弱性の概要

おすすめコレクション の検証パイプラインは、認可が実際に掲載対象のアカウントに属していることを確認せずに、偽造された FeatureAuthorization オブジェクトを受け入れていました。

検証ロジックは次のことだけを確認していました：

• 認可が存在すること；
• 期待されるドメインから発信されていること；
• 期待される ActivityPub フィールドが含まれていること。

しかし、次の点は 検証していませんでした：

FeatureAuthorization.interactionTarget

が、コレクションに挿入されるアカウントと一致するかどうか。

その結果、悪意のあるフェデレーション Mastodon インスタンスが認可ドキュメントを偽造し、任意のリモートユーザーがキュレーションされたおすすめコレクションへの掲載に同意したかのように偽って示すことができました。

これにより、フェデレーションの完全性に影響を与える 認可バイパス が発生しました。

根本原因

この脆弱性は、以下の中の アイデンティティバインディング の欠如によって引き起こされました：

ActivityPub::VerifyFeaturedItemService

このサービスは、次の値同士の比較に失敗していました：

CollectionItem.object_uri

と

FeatureAuthorization.interactionTarget

この検証が欠けていたため、認可オブジェクトが無関係の被害者アカウントに対して再利用される可能性がありました。

セキュリティへの影響

攻撃者は以下のことが可能でした：

• FeatureAuthorization ドキュメントを偽造する
• ユーザー同意の検証をバイパスする
• 任意のリモートアカウントをおすすめコレクションに挿入する
• 偽の推薦を作成する
• 誤解を招くキュレーションコレクションを公開する
• ユーザー同意をなりすます
• フェデレーションインスタンス間でのハラスメントとレピュテーション悪用を助長する

影響： フェデレーションの完全性（完全性のみ）

機密性には 影響がありません。

技術的詳細

欠落していた検証は事実上、次のようなものでした：

return if @collection_item.object_uri != value_or_id(@authorization['interactionTarget'])

このアイデンティティチェックがないため、攻撃者が制御するドメインによって生成された認可ドキュメントが、無関係のユーザーに対して受け入れられる可能性がありました。

調査方法

この脆弱性は、複数のアプローチを使用して独立に検証されました：

• 手動ソースコードレビュー
• ActivityPub プロトコル分析
• 静的コード分析
• Ruby テスト環境
• カスタム Python 検証ハーネス
• 既存の Mastodon 検証サービスとの相互比較

カスタム Python 検証ハーネスは、Mastodon のパーサーが受け入れるサポート対象のすべての JSON-LD @context バリエーションをテストしました。

分析により、この脆弱性は JSON-LD パースではなく 認可バインディングの欠如 に起因することが確認されました。

概念実証（PoC）

エクスプロイトのワークフローは次のとおりです：

1. 攻撃者はフェデレーション Mastodon インスタンスを制御します。
2. 偽造された FeatureAuthorization オブジェクトが公開されます。
3. 認可は攻撃者が制御するリソースを参照します。
4. 別のインスタンスの被害者アカウントがコレクションに挿入されます。
5. Mastodon はオブジェクトのアイデンティティが決して検証されないため、偽造された認可を受け入れます。

結果

被害者アカウントは、一切認可を与えていないにもかかわらず、掲載に同意したかのように表示されます。

修正

この問題は、認可を受け入れる前に、以下との間で明示的なアイデンティティ検証を導入することで解決されました：

• 掲載オブジェクト（CollectionItem.object_uri）
• 認可ターゲット（FeatureAuthorization.interactionTarget）

タイムライン

参考情報

• CVE: https://www.cve.org/CVERecord?id=CVE-2026-47777
• GHSA: https://github.com/mastodon/mastodon/security/advisories/GHSA-vg36-gxjg-2v46
• パッチ： https://github.com/mastodon/mastodon/commit/22203f8aeb03e8f14dc62e253e83db39825a5bcf

謝辞

レポートのレビュー、問題の検証、CVE-2026-47777 の採番、および責任ある開示を通じた調整済みセキュリティ修正の実装を行ってくださった Mastodon セキュリティチーム に特別な感謝を捧げます。

著者

セキュリティ研究者： Bekzod

責任ある開示は、協調的脆弱性開示の慣行に従って実施されました。