船舶向けデータサーバーSignal K Serverで、認証なしで取得できるログZIPにJWT署名鍵が含まれ、管理者権限の奪取につながるCRITICAL脆弱性が確認された。開発元は2.33.0で修正済み。インターネットに公開された該当サーバーは優先して更新と設定確認が必要だ。
30秒でわかる / THE SIGNAL
船舶向けデータサーバーSignal K Serverで、認証なしで取得できるログZIPにJWT署名鍵が含まれ、管理者権限の奪取につながるCRITICAL脆弱性が確認された。開発元は2.33.0で修正済み。インターネットに公開された該当サーバーは優先して更新と設定確認が必要だ。
認証不要のログZIPが管理者トークン偽造につながる
開発元のGHSA-4w32-qx5g-cpwvによると、Signal K Serverの `/skServer/ziplogs` エンドポイントは、問題のあるバージョンでは認証なしでアクセスでき、構成によってはダウンロードしたZIPに `security.json` が含まれる。そこに保存されたHS256方式のJWT署名鍵 `secretKey` が漏えいすると、攻撃者は管理者トークンを偽造して管理者アカウントを作成できる。開発元は管理者権限の完全な乗っ取りにつながると説明し、CVSS v3.1を9.8（CRITICAL）としている。船舶ではNMEA経路設定、プラグイン、アラームの管理が影響し得る。
修正版2.33.0、公開サーバーは優先更新
2026年9月21日の開発元リリース2.33.0は、同GHSAを修正したと明記し、インターネット公開サーバーには直ちに更新するかData Logging Directoryの設定を見直すよう案内している。修正版の `src/interfaces/logfiles.js` では `/skServer/ziplogs` に管理者認証ミドルウェアが追加されたことをソースコードで確認できる。更新できない間は管理機能の公開範囲を制限し、侵害の疑いがある場合は署名鍵の更新や不審な管理者アカウントの確認を検討したい。