セキュリティ企業Horizon3は、Anthropicの脆弱性調査特化モデル「Mythos」を使った調査の中で、オープンソースのファイル共有ソフト「Rejetto HFS」に重大な認証回避の欠陥を発見したと発表した。Horizon3は7月にAnthropicの脆弱性発見プログラム「Project Glasswing」に参加しており、今回の発見はその成果の一つだという。
Mythosが突き止めたのは、HFSがセッションクッキーの署名鍵を暗号用途に適さない擬似乱数生成器「Math.random()」から導出している点と、ログイン処理の別の経路からこの生成器の出力そのものが外部に漏れている点だった。Horizon3の研究者Zach Hanley氏は、「Mythosは単に安全でない乱数生成器を指摘しただけではなく、出力が漏れている別の経路の存在にも気づき、両者を組み合わせれば生成器の内部状態を復元できると見抜いた」と、2つの弱点を連鎖させて見抜いた点を評価した。この欠陥を突けば、攻撃者は管理者セッションを偽造し、サーバーの設定機能経由で任意のコードを実行できる。
この欠陥はCVE-2026-61500として登録され、深刻度はCVSSスコアで9.8(最高レベルの「緊急」)とされた。9月30日の公開から1日と経たないうちに、脆弱性監視サービスVulnCheckのセンサーが、中国発とみられるIPアドレスから米国・日本のサーバーを狙う攻撃を検知している。該当するHFS 3.0.0から3.2.0までを使うユーザーは、修正済みの3.2.1以降へ直ちに更新するよう呼びかけられている。
出典: Horizon3.ai
