blog

AIブログ

Qpid Proton Cに認証バイパスCVE-2026-114230——0.41.1へ更新を

公開日：2026年11月9日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-114230とは——Apache Qpid Proton Cに認証バイパスの脆弱性が発覚

2026年10月29日、Apache Software Foundationが管理するAMQPメッセージングライブラリ「Apache Qpid Proton C」において、SASL認証処理を回避できる脆弱性CVE-2026-114230が公開された（最終更新：2026年11月5日、採番元CNA：apache）。CVSSスコアは9.8（CRITICAL）——ネットワーク経由・認証不要・操作不要で攻撃が成立し得るという最高水準に近い評価であり（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H、評価者：CISA-ADP）、（出典：CVE公式記録 cve.org）。

影響を受けるバージョンはApache Qpid Proton C 0.40.0以下。修正済みバージョンは0.41.1である。2026年11月6日時点でCISAのKEV（Known Exploited Vulnerabilities）カタログへの掲載はない。EPSSによる統計的悪用確率は同日時点で約0.50%（パーセンタイル：約43%）であり、EPSSはあくまで統計的推定であって将来の悪用可能性を保証するものではない（出典：NVD）。

Apache Qpid Proton C 脆弱性 CVE-2026-114230——認証バイパスが起きる仕組み

この脆弱性の本質は、SASLフェーズとAMQPフェーズの境界を誤処理する点にある。

AMQPの接続確立手順では、まずSASLネゴシエーションで認証を完了させ、その後にAMQP通常フレームの送受信が始まる。この順序はプロトコル仕様の前提であり、実装はSASL処理中に相手がSASLフレームを送ってくるものと想定している。

CVE-2026-114230が示す問題は、Protonがピアを認証する際にフレーム種別を厳密に検証していない点だ。SASLフレームとして処理すべき局面で、相手がAMQPフレームを送信してきた場合でも、そのフレームがSASLフレームを名乗っていれば処理を通してしまう。その結果、攻撃者はSASL認証を完了させずに通常のAMQPセッションを確立できる可能性がある。

ただし、認証をバイパスした場合、ユーザー名は設定されない状態となる。その後の実害は、アプリケーション側がこの「認証未完了」状態をどう扱うかに完全に依存する。その影響はアプリケーションがこの認証未完了状態をどう扱うかに依存する。

図：CVE-2026-114230の認証バイパス発生フロー。正常フローではSASLネゴシエーションを経て認証が完了してからAMQPセッションが開始されるが、本脆弱性では攻撃者がSASLを装ったAMQPフレームを送信することでProtonが誤処理し、認証を完了せずにセッションが確立し得る。実害の大きさはアプリケーション側の認証状態管理に依存する（CWE-305）。

次に読む：Barracuda ESGの認証バイパスの仕組みは？

Barracuda ESG脆弱性CVE-2026-116606の認証バイパスの仕組みと修正手順

Apache Qpid Proton C 脆弱性 CVE-2026-114230——日本企業にとっての影響評価

Apache Qpid Protonは、AMQP 1.0の実装ライブラリの一つである。

CVSS 9.8という評価の意味を具体的に読み解くと、攻撃ベクターはネットワーク（AV:N）、複雑度は低（AC:L）、特権不要（PR:N）、ユーザー操作不要（UI:N）——すなわち、ネットワーク経由で到達可能であり、特権や事前の認証情報を必要とせず、ユーザー操作も不要であることを示している（評価者：CISA-ADP、出典：CVE公式記録 cve.org）。

現時点のEPSS（統計的悪用確率の推定）は約0.50%（パーセンタイル：約43%）であり、悪用が確認されているとは言えない水準にある（2026年11月6日時点、出典：NVD）。

Apache Qpid Proton C 脆弱性 CVE-2026-114230——今やること

運用担当者・開発担当者がとるべき行動は次の3点に絞られる。

Apache Qpid Proton C 0.40.0以下を使用している場合は、バージョン0.41.1へのアップグレードを実施する（0.41.1でCVE-2026-114230は修正済み）。配布パッケージはそのベンダーの告知の修正版で判断する。
即時更新が困難な場合は、Apache Software Foundationの公式告知を参照する。本事実シートには公式が明示した特定の回避策は記載されていない。

アップグレード先は0.41.1であり、この版でCVE-2026-114230は修正されている。配布パッケージはそのベンダーの告知の修正版で判断する。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

この脆弱性が示す設計上の問題——プロトコル状態管理の重要性

CVE-2026-114230の弱点分類はCWE-305（主要な認証処理のバイパスによる認証回避）だ。この種の脆弱性は、プロトコルの状態機械（ステートマシン）が期待どおりの順序で動作することを暗黙に前提とした実装から生じることが多い。

AMQPのような複層的なプロトコルでは、SASLフェーズとAMQPフェーズを厳密に分離し、フェーズが確定するまで相手からの入力種別を制限する実装が求められる。修正版0.41.1でこの問題は修正されている。

参考文献

CVE公式記録 — https://www.cve.org/CVERecord?id=CVE-2026-114230
NVD（National Vulnerability Database）— https://nvd.nist.gov/vuln/detail/CVE-2026-114230

重大な脆弱性が出たら、メールでお知らせします

悪用が確認された重大な脆弱性が出たときだけ送ります（頻繁には送りません）。無料・配信停止はメール内のリンクからいつでもできます。

脆弱性への対応・AIセキュリティでお困りの方へ

クリスタルメソッドは、脆弱性情報の監視とお知らせ、AIセキュリティのご相談、AIを業務に取り入れる際のセキュリティを学ぶ研修をお受けしています。「使っている製品が対象か分からない」「社内でAIを使うときの注意点を整理したい」といった段階からご相談いただけます。

無料相談・お問い合わせ：ご相談はこちら
提供内容と料金：脆弱性の監視サービス

監修

河合継（クリスタルメソッド株式会社代表取締役）

AI・ディープラーニングに関する特許16件の発明者。過去、国立がん研究センターとの共同研究や、テレビ番組でのAI解説実績を持つAI研究者として、AIの研究開発を主導している。
運営会社について｜編集方針