ベクトルDB「Milvus」に深刻な脆弱性 - クラスタ乗っ取りのおそれも

ベクトルデータベース「Milvus」のプロキシコンポーネントに深刻な脆弱性が明らかとなった。開発者は早急にアップデートするよう利用者に呼びかけている。

一部ヘッダの扱いに問題があり、細工したリクエストによって認証をバイパスして管理権限を取得することができる脆弱性「CVE-2025-64513」が明らかとなったもの。

脆弱性を悪用された場合、データの読み取りや改ざん、削除のほか、データベースやコレクションの管理操作なども可能となり、クラスタ全体が乗っ取られるおそれもある。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.3」、重要度は「クリティカル（Critical）」と評価されている。

開発チームは現地時間2025年11月11日に同脆弱性を修正した「Milvus 2.6.5」「同2.5.21」「同2.4.24」をリリースした。また脆弱性の原因となるヘッダを通信経路で削除する一時的な緩和策についてもアナウンスしている。

（Security NEXT - 2025/11/14 ）ツイート