概要
AFFiNEはオープンソースのオールインワンワークスペースおよびオペレーティングシステムです。この度、バージョン0.26.0より前のAFFiNE製品において、オープンリダイレクトの脆弱性（CVE-2026-25477）が報告されました。
この脆弱性は、`/redirect-proxy`エンドポイントにおけるドメイン検証ロジックに起因します。不適切にアンカーされていない正規表現が使用されているため、攻撃者がホワイトリストに登録された文字列で終わる悪意のあるドメインを利用して、検証ロジックを迂回できる可能性があります。これにより、ユーザーが悪意のあるサイトにリダイレクトされるリスクが考えられます。
本脆弱性はバージョン0.26.0で修正されています。
影響範囲
- AFFiNEのバージョン0.26.0より前の製品が影響を受けます。
- 具体的には、`/redirect-proxy`エンドポイントを使用する機能が影響を受ける可能性があります。
想定される影響
攻撃者は、正規のURLに見せかけたリンクをユーザーにクリックさせることで、ユーザーをフィッシングサイトやマルウェア配布サイトなどの悪意のあるウェブサイトにリダイレクトさせる可能性があります。
これにより、ユーザーの認証情報が窃取されたり、マルウェアに感染したりするリスクが考えられます。また、企業のブランドイメージや信頼性が損なわれる可能性もあります。
攻撃成立条件・悪用状況
- 攻撃は、ユーザーが細工されたURLをクリックすることで成立する可能性があります。
- 現在のところ、本脆弱性の具体的な悪用状況については報告されていません。
推奨対策
今すぐできる対策（最優先）
- AFFiNEのアップデート: 影響を受けるAFFiNE製品を直ちにバージョン0.26.0以降にアップデートしてください。このバージョンで脆弱性が修正されています。
中長期的な対策
- セキュリティパッチの継続的な適用: 今後もベンダーから提供されるセキュリティパッチやアップデート情報を定期的に確認し、速やかに適用する運用体制を確立してください。
- 従業員への注意喚起: 不審なリンクやメールには注意し、安易にクリックしないよう従業員にセキュリティ教育を実施してください。
一時的な緩和策
本脆弱性はソフトウェアのアップデートによって修正されるため、一時的な緩和策は限定的です。可能であれば、影響を受ける`/redirect-proxy`エンドポイントへの外部からのアクセスを制限することも検討できますが、サービスの機能に影響を与える可能性があります。最も効果的な対策は、速やかなアップデートです。
確認方法
現在使用しているAFFiNEのバージョンを確認し、0.26.0未満である場合は脆弱性の影響を受ける可能性があります。製品のドキュメントや管理画面からバージョン情報を確認してください。
参考情報
- CVE-2026-25477 詳細: https://cvefeed.io/vuln/detail/CVE-2026-25477