shirusu VULNERABILITY WATCH

← 脆弱性一覧に戻る

CVE-2026-49329

Openshift/oauth-server: openshift/oauth-server: quadratic-time dos via accept-language header underscore bypass on unauthenticated login endpoints

P3 CVSS最高 7.5

優先度の判定理由: 優先度の判定基準には該当なし 出典: CVE公式（CVE List）・NVD

公式ソースで確認された事実（機械抽出）

公式説明（原文・英語） A flaw was found in openshift/oauth-server. The OAuth login and error page endpoints pass the unauthenticated Accept-Language header to golang.org/x/text/language.ParseAcceptLanguage() without input validation. A bypass of the CVE-2022-32149 mitigation exists: the upstream guard counts only '-' characters but the internal BCP 47 scanner aliases '_' to '-' after the guard check. An unauthenticated attacker can send a crafted Accept-Language header using '_' separators to trigger quadratic-time parsing, consuming excessive CPU and denying authentication to all cluster users.
悪用状況 不明
KEV（米CISA既知悪用脆弱性カタログ） 未登録（確認 —）。KEV未掲載は「悪用されていない」ことを意味しません。
CVSS評価 secalert-at-redhat.com CVSS 3.1: 7.5
secalert-at-redhat.com: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
EPSS（今後30日以内の悪用確率・FIRST） —
修正バージョン 公表なし
公表日 2026年9月2日 00:30
最終更新 2026年10月30日 14:16
最終確認 2026年10月30日 14:40

対象製品・バージョン

製品 影響バージョン 修正バージョン ベンダー修正済み 利用者対応要否
Red Hat Red Hat OpenShift Container Platform 4.14 1791839120 < * — 未告知 未告知
Red Hat Red Hat OpenShift Container Platform 4.15 1791598539 < * — 未告知 未告知
Red Hat Red Hat OpenShift Container Platform 4.16 1792883889 < * — 未告知 未告知
Red Hat Red Hat OpenShift Container Platform 4.18 1790882323 < * — 未告知 未告知
Red Hat Red Hat OpenShift Container Platform 4.19 1790611633 < * — 未告知 未告知
Red Hat Red Hat OpenShift Container Platform 4.20 1790702087 < * — 未告知 未告知
Red Hat Red Hat OpenShift Container Platform 4.21 1790707106 < * — 未告知 未告知
Red Hat Red Hat OpenShift Container Platform 4.22 1790713150 < * — 未告知 未告知
Red Hat Red Hat OpenShift Container Platform 5 — — 未告知 未告知

「ベンダー修正済み」と「利用者対応要否」は別の事実として管理しています（ベンダー修正済みでも利用者側の更新が必要です）。

出典・根拠

ソース URL 取得時刻 本文ハッシュ（先頭12桁）
CVE公式（CVE List） cvelist 一次情報を開く 2026年10月30日 14:37 2b29172d8df3
NVD nvd 一次情報を開く 2026年10月30日 14:40 b19c8819fd79
NVD nvd 一次情報を開く 2026年10月30日 14:40 12c68d4b03e9

数値・バージョン・日付は原文から機械抽出したものです。取得時刻はJST表記。日本語文面は自動生成であり、公式発表を置き換えるものではありません。

AIによる補助要約

AIによる補助要約は無効化されています（無料運用のため既定ではオフ）。一次情報をご確認ください。