「InfluxDB」に全トークンが取得可能となる脆弱性 - 修正を準備中

時系列のデータ処理やリアルタイム分析などに活用されているデータベースソフトウェア「InfluxDB」において、あらゆるトークンを取得でき、権限の昇格が可能となる脆弱性が判明した。

「同2.7.10」以前のバージョンにおいて、権限の昇格が可能となる脆弱性「CVE-2024-30896」が判明したもの。特定のトークンを持つユーザーがコマンドラインやAPIを通じて同一組織内で利用するすべてのトークンを取得できるという。

本来の設計としてトークンの表示が許容されているが、運用上、権限の昇格が可能となるロジックには問題があり、セキュリティ上の問題であるとの指摘を受けている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.1」と評価されており、重要度は「クリティカル（Critical）」とレーティングされている。

開発チームでは、以前より問題を把握しており、修正対応を予定していたと説明。今後提供するアップデートでは、トークン情報をハッシュ化して直接参照できないよう対策を講じる予定。

信頼できないユーザーをデフォルトの組織に追加しないなど、トークン管理に注意を払うよう求めている。

（Security NEXT - 2024/11/29 ）ツイート