CVE-2026-18481 – 参加者 URL フィールド格納型 XSS からのセッショントークン盗難経由のアカウント乗っ取り
速報 ID: 2026-068-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 7 月 31 日 午前 11 時 00 分 (PDT)
説明:
AWS Ops Wheel は、AWS GitHub 組織の下で公開されているオープンソースの運用意思決定ツールであり、お客様が CloudFormation を通じて自身の AWS アカウントに独自にデプロイするものです。アプリケーションは参加者 URL フィールドを十分に検証していませんでした。サーバー側の検証では値の長さのみが確認され、安全な Web URL であるかどうかは確認されませんでした (CWE-79)。そのため、参加者管理権限を持つユーザー (wheel 管理者/管理者) は、別のユーザーの認証済みブラウザーセッション (格納型クロスサイトスクリプティング) でスクリプトを実行できる細工された URL を保存できました。
影響は、単一の自己デプロイ型インスタンスに限定されます (各デプロイには独自の Cognito ユーザープールがあります)。デプロイ間の影響や、AWS が管理するサービスへの影響はありません。
影響を受けるバージョン:AWS Ops Wheel v2 デプロイ PR #168 およびそれ以前
解決方法:
この問題は、PR #168 において多層防御の観点から対処されました。具体的には、サーバーサイドの検証により、作成および更新時に参加者の URL が http/https スキームに制限されるようになりました。また、クライアント側では保存された URL のレンダリング方法が強化され、セッショントークンはページスクリプトからアクセス可能な場所に保存されなくなりました。AWS Ops Wheel はソースからデプロイされるため、この修正を含むリビジョンにチェックアウトを更新し、API と UI の両方を再デプロイし、フォークされたコードや派生コードにパッチを適用することをお勧めします。
回避策:
パッチを適用したコードを再デプロイできるようになるまで、wheel 管理者/管理者権限を信頼できるユーザーのみへの制限、保存されている参加者の監査、標準の http/https URL ではないすべての参加者 URL の削除、意図しないユーザーからの参加者エントリとのやり取りの回避、CloudFront/リバースプロキシに厳格なコンテンツセキュリティポリシーの適用を行ってください (部分的な一時的措置であり、パッチの代わりにはなりません)。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。