HashiCorp Consulのサービスメッシュ証明書APIで、ACLトークンなしにキャッシュ済み証明書と秘密鍵を取得できるCVE-2026-105765。サービスのなりすましリスクと修正版を解説。
30秒でわかる / THE SIGNAL
HashiCorp Consulのサービスメッシュ証明書APIで、ACLトークンなしにキャッシュ済み証明書と秘密鍵を取得できるCVE-2026-105765。サービスのなりすましリスクと修正版を解説。
何が起きたか
HashiCorpが2026年10月26日に公開したHCSEC-2026-46（CVE-2026-105765）は、Consul agentのサービスメッシュleaf証明書APIの認可回避。ACL有効環境でキャッシュ済み証明書と秘密鍵を有効なACLトークンなしに取得される恐れがある。
成立条件と影響
Consul/Consul Enterprise 1.17.0から2.0.4が対象。ACLが有効で、攻撃者がagent HTTP APIにネットワーク到達でき、対象サービスのleaf証明書が当該agentにキャッシュされていることが条件。取得した秘密鍵でサービスを偽装し、メッシュの許可された通信先へアクセスされる可能性がある。HTTP APIの既定リッスン先はループバックであり、外部から到達できるとは限らない。
修正版と対処
Consul Community 2.1.0、Consul Enterprise 2.1.0または1.21.19に更新する。更新できない場合はagent HTTP APIへのアクセスを制限し、依存するConnect-nativeアプリケーション等がない場合に限りhttp_config.block_endpointsでleaf証明書APIを遮断する方法を検討する。一次情報：https://discuss.hashicorp.com/t/hcsec-2026-46-consul-vulnerable-to-an-authorization-bypass-in-the-agents-service-mesh-leaf-certificate-api/77911
悪用状況と編集部の視点
2026年10月27日時点、公式勧告で実環境の悪用確認は示されていない。既報のCVE-2026-105608はサービスメッシュ登録権限の問題であり、今回の秘密鍵漏えいリスクとは別の脆弱性だ。