fix: MFAバイパス脆弱性の修正

2FA設定済みユーザーが未認証状態で設定画面にアクセスし、
既存の2FAキーを上書きできる脆弱性を修正

- TwoFactorAuthController: 2FAキー設定済みの場合は認証画面にリダイレクト
- TwoFactorAuthListener: admin_two_factor_auth_setを条件付き除外に変更

Author: dotani1111

src/Eccube/Controller/Admin/Setting/System/TwoFactorAuthController.php

@@ -109,6 +109,13 @@ public function set(Request $request)
         if (!$this->twoFactorAuthService->isEnabled() || $this->twoFactorAuthService->isAuth($Member)) {
             return $this->redirectToRoute('admin_homepage');
         }
+
+        // 既に2FAキーが設定されている場合は、認証画面にリダイレクト
+        // 2FA未認証状態での再設定を防ぐ（MFAバイパス脆弱性対策）
+        if ($Member->getTwoFactorAuthKey()) {
+            return $this->redirectToRoute('admin_two_factor_auth');
+        }
+
         $res = $this->createResponse($request);
 
         return $res;

src/Eccube/EventListener/TwoFactorAuthListener.php

@@ -28,7 +28,12 @@ class TwoFactorAuthListener implements EventSubscriberInterface
     /**
      * @var array 2段階認証のチェックを除外するroute
      */
-    public const ROUTE_EXCLUDE = ['admin_two_factor_auth', 'admin_two_factor_auth_set'];
+    public const ROUTE_EXCLUDE = ['admin_two_factor_auth'];
+
+    /**
+     * @var array 2段階認証キー未設定時のみ除外するroute
+     */
+    public const ROUTE_EXCLUDE_WHEN_NOT_CONFIGURED = ['admin_two_factor_auth_set'];
 
     /**
      * @var EccubeConfig
@@ -89,9 +94,18 @@ public function onKernelController(ControllerArgumentsEvent $event)
             return;
         }
 
+        $Member = $this->requestContext->getCurrentUser();
+
+        // 2FAキー未設定時のみ除外するルートのチェック
+        // 既に2FAキーが設定されている場合は除外しない（認証が必要）
+        if (in_array($route, self::ROUTE_EXCLUDE_WHEN_NOT_CONFIGURED)) {
+            if ($Member instanceof Member && !$Member->getTwoFactorAuthKey()) {
+                return;
+            }
+        }
+
         if (
-            ($Member = $this->requestContext->getCurrentUser())
-            && $Member instanceof Member
+            $Member instanceof Member
             && $Member->isTwoFactorAuthEnabled()
             && !$this->twoFactorAuthService->isAuth($Member)
         ) {