IoT向けDB「Apache IoTDB」に脆弱性 - 4月の更新で修正済み

産業用IoTデバイスより収集したデータを管理できるデータベース「Apache IoTDB」にリモートよりコードを実行されるおそれがある脆弱性が明らかとなった。アップデートが提供されている。

開発チームが現地時間2025年5月14日にセキュリティアドバイザリを公開し、「CVE-2024-24780」について明らかにしたもの。

「ユーザー定義関数（UDF）」を作成する権限を持つ場合に、信頼されていない外部の「URI」より不正な関数を登録できる脆弱性で、リモートよりコードを実行されるおそれがある。

開発チームでは、同脆弱性の重要度を4段階中、上から3番目にあたる「中（Moderate）」とレーティングした。

一方、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

開発チームでは、現地時間2025年4月17日にリリースした「Apache IoTDB 1.3.4」にて同脆弱性を修正。利用者にアップデートを呼びかけている。

（Security NEXT - 2025/05/15 ）ツイート