分散型データベース「OpenTSDB」にコマンドインジェクションの脆弱性

分散型データベース「OpenTSDB」にコマンドインジェクションなど複数の脆弱性が明らかとなった。ソースリポジトリにおいて修正されている。

「同2.4.1」および以前のバージョンのAPIにおいて、HTTPクエリに対するパラメータの検証に不備がある脆弱性「CVE-2023-25826」が明らかとなったもの。

同ソフトウェアをホストするシステム上でコードを実行されるおそれがある。2021年9月にリリースされた「同2.4.1」にて「CVE-2020-35476」の修正にあたり正規表現が実装されたが、意図したとおりに機能していないことに起因するという。

脆弱性を発見し、CVE番号を採番したSynopsysでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」とレーティングした。

また反射型クロスサイトスクリプティング（XSS）の脆弱性「CVE-2023-25827」についてもあわせて明らかとなった。過去に修正された「CVE-2018-13003」と同様の問題に起因するとしている。CVSS基本値は「8.2」、重要度は「高（High）」。

いずれもソースリポジトリにおいて修正が実施されている。

（Security NEXT - 2023/05/11 ）ツイート