Kiuwan WebUI SSO Improper Enforcement of Locked Accounts (CVE-2026-24069)

バグまとめ：Kiuwan WebUI (SSO) におけるロック済みアカウントの誤った実装 バグ概要 バグ名：WebUI (SSO) におけるロック済みアカウントの誤った実装 (Improper Enforcement of Locked Accounts in WebUI (SSO)) CVE番号：CVE-2026-24069 バグ説明：Kiuwan は、Microsoft ADFS や Azure などのシングルサインオン (SSO) をサポートしています。ロールとアクセス権限を設定する際、システムは AD ユーザーアカウントをローカルアカウントにマッピングします。 問題の核心：管理者が Kiuwan のユーザー設定で特定のユーザーアカウントを無効化した後（例：ローカルログインを無効化しパスワードを設定せず、SSO ログインのみを許可）、ユーザーは依然として SSO 経由で Kiuwan WebUI に正常にログインできます。システムがアカウントの無効化状態を正しく検証しなかったため、認可チェックが無効化されています。 影響範囲 影響を受けるバージョン：2.8.2412.0（テスト時の最新バージョン） 影響を受けるコンポーネント：Kiuwan WebUI (SSO) 影響を受ける結果：管理者によって無効化されたアカウントがまだシステムにアクセスできるため、認可されないアクセスのリスクがあります。 修正方法 ベンダーの対応： Kiuwan Cloud：最新バージョンにより、2025 年 7 月 29 日に修正済み。 Kiuwan On-Premises：パッチバージョン 2.8.2509.4 を提供。 パッチのダウンロード**： パッチはベンダーのインストールページからダウンロードできます： 概念実証 (PoC) 具体的なコードブロックは提供されていませんが、再現手順は以下の通りです： 1. Kiuwan のユーザー設定でユーザーを無効にする。 2. SSO（例：Microsoft ADFS）を使用して認証を行う。 3. Kiuwan WebUI に正常にログインする。

目標達成 すべての支援者に感謝 — 100%達成しました！

Kiuwan WebUI SSO Improper Enforcement of Locked Accounts (CVE-2026-24069)

目標達成すべての支援者に感謝 — 100%達成しました！