Last Updated on 2024-12-26 07:14 by admin
Apache Software Foundation (ASF)は2023年12月23日、Apache Traffic Controlに重大なSQLインジェクション脆弱性（CVE-2024-45387）が存在することを発表しました。この脆弱性のCVSSスコアは9.9（最大10.0）と非常に高い深刻度を示しています。
影響を受けるバージョン：
- Apache Traffic Control 8.0.0から8.0.1
脆弱性の詳細：
Traffic Opsコンポーネントにおいて、特定の権限（admin、federation、operations、portal、steering）を持つユーザーが、細工されたPUTリクエストを送信することで、データベースに対して任意のSQLコマンドを実行できる状態でした。
対応策：
- Apache Traffic Control 8.0.2へのアップグレードで修正可能
- パッチは2024年10月4日にリリース済み
from:Critical SQL Injection Vulnerability in Apache Traffic Control Rated 9.9 CVSS — Patch Now
【編集部解説】
今回の脆弱性が発見されたApache Traffic Controlは、大規模なコンテンツ配信を効率的に行うためのCDNシステムとして、多くの企業で採用されているオープンソースソフトウェアです。
特に注目すべき点は、この脆弱性のCVSSスコアが9.9という非常に高い値を示していることです。これは、攻撃者が特権ユーザーの権限を持っている場合、データベースに対して完全なコントロールを得られる可能性があることを示しています。
ただし、この脆弱性を悪用するためには、攻撃者が既に特権ユーザーのアクセス権を持っている必要があります。つまり、一般的なユーザーからの攻撃リスクは限定的であると言えます。
CDNの重要性は年々増しており、特に動画配信サービスやeコマースなど、大規模なコンテンツ配信を行うサービスにとって不可欠な存在となっています。そのため、このような重大な脆弱性の発見は、インターネットインフラの安全性を考える上で重要な警鐘となります。
興味深いのは、この脆弱性がTencent YunDingセキュリティラボによって発見されたことです。中国のセキュリティ研究者による国際的なオープンソースプロジェクトへの貢献は、グローバルなサイバーセキュリティコミュニティの協力関係を示す好例と言えるでしょう。
また、この脆弱性の発見は、Apache Software Foundationの他のプロジェクトでも重要な脆弱性が相次いで発見されている中で起きています。これは、オープンソースソフトウェアの品質管理とセキュリティ監査の重要性を改めて示すものです。
企業のシステム管理者の方々には、できるだけ早期にApache Traffic Control 8.0.2へのアップデートを実施することをお勧めします。また、定期的なセキュリティアップデートの確認と適用を習慣化することが、今後も重要となってくるでしょう。
【用語解説】
【参考リンク】
【関連記事】
サイバーセキュリティニュースをinnovaTopiaでもっと読む
