「Apache Superset」に権限外のDB操作が可能となる脆弱性

データの可視化分析ツール「Apache Superset」において、不正な「SQLクエリ」が実行できる脆弱性が明らかとなった。

不適切な認可に起因し、読み取り専用クエリとして誤って認識される「SQLクエリ」を作成し、本来の権限を超えて実行可能となる脆弱性「CVE-2024-55633」が明らかとなったもの。

同脆弱性は、「Postgres」を分析用のデータベースに利用している場合に影響。「Apache Superset」においてSQLエディタ機能「SQLLab」へのアクセス権を持つユーザーによって、データ操作を行う「SQLステートメント」を実行することが可能となるという。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「7.1」、重要度は4段階中、上から2番目にあたる「高（High）」とレーティングされている。

データベースに対する接続が読み取り専用となっている場合や、「Postgres」以外のデータベースについては影響を受けない。

開発チームでは、「Apache Superset 4.1.0」において脆弱性を修正しており、同バージョン以降へ更新するよう呼びかけている。

（Security NEXT - 2024/12/23 ）ツイート