Ruby向け「GraphQL」ライブラリに深刻なRCE脆弱性

「GraphQL」をRuby環境に実装したライブラリ「graphql-ruby」に深刻な脆弱性が明らかとなった。脆弱性を修正するアップデートが提供されている。

JSON形式のスキーマを読み込む処理に不備があり、リモートよりコードの実行が可能となる脆弱性「CVE-2025-27407」が判明したもの。外部より信頼できないソースからスキーマを取得している場合、特に影響が大きい脆弱性となっている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.1」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

開発チームでは、脆弱性へ対処した「graphql-ruby 2.4.13」「同2.3.21」「同2.2.17」「同2.1.15」「同2.0.32」「同1.13.24」「同1.12.25」「同1.11.11」をリリース。影響を受けるユーザーに対し、アップデートを呼びかけている。

同脆弱性が判明したことを受け、同ライブラリを利用する「GitLab」などもアップデートを実施している。

（Security NEXT - 2025/03/13 ）ツイート