概要
Parse Serverアプリケーションを管理するためのスタンドアロンダッシュボードであるParse Dashboardに、キャッシュキーの衝突に起因する脆弱性（CVE-2026-27610）が報告されました。この脆弱性は、特定の条件下で、本来アクセス権のないユーザーがマスターキーを取得してしまう可能性があるというものです。
影響範囲
この脆弱性の影響を受けるのは、Parse Dashboardの以下のバージョンです。
- バージョン 7.3.0-alpha.42 から 9.0.0-alpha.7 まで
バージョン 9.0.0-alpha.8 でこの問題は修正されています。
想定される影響
この脆弱性が悪用された場合、以下のような影響が想定されます。
- 読み取り専用権限を持つユーザーが、システム全体を操作できる完全なマスターキーを誤って取得する可能性があります。これにより、機密データの不正閲覧、改ざん、削除、システム設定の変更など、広範な不正操作が行われるリスクが考えられます。
- 通常のユーザーが、読み取り専用のマスターキーを誤って取得する可能性も報告されています。この場合、一部の機能が制限されるなどの影響が考えられます。
攻撃成立条件・悪用状況
この脆弱性は、ConfigKeyCacheが関数型キーを解決する際に、マスターキーと読み取り専用マスターキーに対して同じキャッシュキーを使用することが原因で発生します。特定のタイミング条件が重なった場合に、キャッシュされたキーが意図せず誤って提供されると報告されています。現時点での具体的な悪用状況については、公開情報からは確認できませんが、潜在的なリスクは高いと考えられます。
推奨対策
最優先で実施すべき対策
- Parse Dashboardのアップデート: 影響を受けるバージョンを使用している場合は、直ちにバージョン 9.0.0-alpha.8 以降へアップデートすることを強く推奨します。
一時的な緩和策
アップデートがすぐに実施できない場合、以下のいずれかの方法で一時的にリスクを軽減できる可能性があります。
- 関数型マスターキーの使用を避ける: マスターキーを関数型で定義している場合、その使用を避けることで、この脆弱性の発生条件を回避できる可能性があります。
- ダッシュボード設定からの
agentブロックの削除: ダッシュボード設定からagent設定ブロックを削除することも、一時的な緩和策として有効であると報告されています。
確認方法
現在利用しているParse Dashboardのバージョンを確認してください。また、ダッシュボードの設定ファイルを確認し、関数型マスターキーを使用しているか、またはagent設定ブロックが存在するかを確認してください。
参考情報
- CVE-2026-27610 詳細: https://cvefeed.io/vuln/detail/CVE-2026-27610