「Apache Druid」に認証回避の深刻な脆弱性 - アップデート実施を

分散型分析データベース「Apache Druid」において、認証の回避が可能となる深刻な脆弱性が明らかとなった。

LDAP認証を利用する構成において認証をバイパスできる脆弱性「CVE-2026-23906」が明らかとなったもの。開発チームは、重要度を4段階中、上から2番目にあたる「重要（Important）」とレーティングしている。

脆弱性は拡張機能「druid-basic-security」に存在。同機能を有効化し、LDAPサーバが匿名バインドを許可している場合、既存ユーザー名と空のパスワードを指定することで認証を突破できるという。

認証情報を持たない第三者がクラスタへアクセスでき、データソースに保存されている情報へアクセスしたり、クエリの実行、データの操作のほか、管理インタフェースなどへのアクセスも可能となる。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を4段階中もっとも高い「クリティカル（Critical）」としている。

開発チームでは、「Apache Druid 36.0.0」にて脆弱性を解消しており、アップデートが呼びかけられている。

（Security NEXT - 2026/02/12 ）ツイート