Axios、CVE-2026-40175を修正-AWSなどのクラウド環境侵害やRCEに発展し得る重大な脆弱性|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年04月15日更新日時: 2026年04月15日

Axiosのセキュリティアドバイザリ GHSA-fvcv-3m26-pcqx によると、CVE-2026-40175 は HTTPヘッダー注入の連鎖を通じて、クラウドメタデータの不正取得につながり得る脆弱性です。GitHub上のアドバイザリでは Critical とされ、CVSS v3.1 の overall score は 10.0、ベクトルは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H です。

1 概要
2 影響
3 対象バージョン
4 対象バージョン

概要

GitHubのアドバイザリでは、攻撃者が別のライブラリ経由で Object.prototype を汚染できた場合、Axios が設定マージの過程でその汚染済みプロパティを取り込み、CRLF を含むヘッダー値を十分に無害化しないまま送信してしまうと説明されています。これにより、見た目には安全な固定の HTTP リクエストが、実際にはリクエストスマグリングの足場に変質し、内部サービスやクラウドメタデータサービスへの不正リクエスト送信に使われるおそれがあります。アドバイザリ本文では、これを zero direct user input で成立し得る gadget attack chain と位置付けています。

影響

GitHubアドバイザリが最も強く警告しているのは、AWS Metadata Service、特に IMDSv2 を狙った悪用です。PoC では、汚染されたヘッダー値の中に PUT /latest/api/token と X-aws-ec2-metadata-token-ttl-seconds を差し込み、通常の SSRF では送りにくいヘッダー付きリクエストを密かに成立させる流れが示されています。アドバイザリは、その結果として IAM credentials の窃取や cloud account compromise に至り得ると説明しています。