「InfluxDB」に全トークンが取得可能となる脆弱性 - 修正を準備中
時系列のデータ処理やリアルタイム分析などに活用されているデータベースソフトウェア「InfluxDB」において、あらゆるトークンを取得でき、権限の昇格が可能となる脆弱性が判明した。
「同2.7.10」以前のバージョンにおいて、権限の昇格が可能となる脆弱性「CVE-2024-30896」が判明したもの。特定のトークンを持つユーザーがコマンドラインやAPIを通じて同一組織内で利用するすべてのトークンを取得できるという。
本来の設計としてトークンの表示が許容されているが、運用上、権限の昇格が可能となるロジックには問題があり、セキュリティ上の問題であるとの指摘を受けている。
共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.1」と評価されており、重要度は「クリティカル(Critical)」とレーティングされている。
開発チームでは、以前より問題を把握しており、修正対応を予定していたと説明。今後提供するアップデートでは、トークン情報をハッシュ化して直接参照できないよう対策を講じる予定。
信頼できないユーザーをデフォルトの組織に追加しないなど、トークン管理に注意を払うよう求めている。
(Security NEXT - 2024/11/29 )
ツイート
PR
関連記事
クラウド設定ミス、学内で学生の個人情報が閲覧可能に - 流通科学大
一部サーバでランサム感染、情報流出など調査 - ワシントンホテル
「フィッシング」「ニセ警察」など動画で注意喚起 - 個情委と警察庁
米子会社にサイバー攻撃、情報流出の可能性 - サカタのタネ
ランサム被害で患者情報流出、診療には影響なし - 日本医科大学武蔵小杉病院
「TeamViewer」に脆弱性 - ローカル側の確認を回避可能
BeyondTrust製リモート管理製品の脆弱性悪用が発生 - 米CISAが注意喚起
先週注目された記事(2026年2月8日〜2026年2月14日)
ブラウザ「Chrome」にゼロデイ脆弱性 - 悪用を確認
「SecHack365」の成果発表会、都内で2月28日に開催
