結論
CVE-2026-49139は、Nanobotのバージョン0.2.1以前に存在するサーバーサイドリクエストフォージェリ（SSRF）脆弱性です。この脆弱性により、リモート攻撃者がBot Frameworkのベアラートークンを抽出することが可能です。利用者は、影響を受けるシステムのバージョンを確認し、適切な対策を講じる必要があります。
この記事の要点
- Nanobotのバージョン0.2.1以前にSSRF脆弱性が存在
- 攻撃者は偽のアクティビティを利用してトークンを抽出可能
- 影響を受けるシステムの確認と対策が必要
脆弱性の概要
CVE-2026-49139は、Nanobotのバージョン0.2.1以前に存在するサーバーサイドリクエストフォージェリ（SSRF）脆弱性です。この脆弱性により、リモート攻撃者は、攻撃者が制御するserviceUrl値を持つ偽のアクティビティを提供することで、Bot Frameworkのベアラートークンを抽出することが可能です。攻撃者は、TeamsのWebhookに対して特別に作成されたインバウンドアクティビティを送信することで、保存された会話参照を汚染し、その後のボットの応答がトークンを含むAuthorizationヘッダーリクエストを攻撃者が制御するホストに送信するように仕向けることができます。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-49139 |
| 公開日 | 2026-06-01T21:16:46.913000Z |
| 対象システム | Nanobot 0.2.1以前 |
| 脆弱性の種類 | サーバーサイドリクエストフォージェリ（SSRF） |
| CVSSスコア | 7.0 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- Nanobotのバージョンを確認する
- 影響を受けるバージョンを使用している場合は、直ちに対策を講じる
- ベンダーからの公式な情報を待つ
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-49139
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-49139
- disclosure@vulncheck.com：https://github.com/HKUDS/nanobot/commit/232df45126bcf0f8fccd123d73714f202c8e8612
- disclosure@vulncheck.com：https://github.com/HKUDS/nanobot/pull/4047
- disclosure@vulncheck.com：https://github.com/HKUDS/nanobot/releases/tag/v0.2.1
- disclosure@vulncheck.com：https://www.vulncheck.com/advisories/nanobot-ssrf-via-microsoft-teams-channel-serviceurl-poisoning
対象システムと影響範囲
Nanobotのバージョン0.2.1以前を使用しているシステムが影響を受けます。これにより、リモート攻撃者がBot Frameworkのベアラートークンを抽出する可能性があります。
被害内容
この脆弱性が悪用された場合、攻撃者はBot Frameworkのベアラートークンを取得し、ボットの応答を操作することが可能になります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
現時点では、ベンダーからの公式な対策情報は提供されていません。利用者は、Nanobotの最新バージョンへのアップデートを検討する必要があります。
FAQ
Q1. どの製品が影響を受けますか？
Nanobotのバージョン0.2.1以前を使用しているシステムが影響を受けます。
Q2. まず何をすればよいですか？
Nanobotのバージョンを確認し、影響を受ける場合は対策を講じる必要があります。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント