30秒で判断
- 対応すべき人: データベース管理ツール「Chat2DB」をバージョン5.3.8以前で運用している人
- 対応不要な人: Chat2DBを利用していない人、Class Generator機能を利用していない人
- 確認コマンド: Chat2DBの管理画面またはパッケージ情報でバージョンを確認。
5.3.8以下であれば該当
概要
OtterMindが開発するデータベース管理ツール「Chat2DB」に、パストラバーサルの脆弱性が見つかりました。Class Generatorコンポーネントの DbMybatisGenerateServiceImpl.generateClass 関数において、tableName 引数の処理に問題があり、意図しないファイルパスへのアクセスが可能になる場合があります。リモートからの攻撃が可能とされ、この脆弱性を実証するPoCが公開されています。ベンダーには事前に連絡されましたが、現時点で応答はないとされています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.3 (High) |
| CVSSバージョン | 3.1 |
| CWE | CWE-22（Path Traversal） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Chat2DB | OtterMind | <= 5.3.8 |
修正バージョンと回避策
現時点で公式の修正バージョン情報はデータ上確認できていません。回避策として、Class Generator機能へのアクセスを信頼できるユーザーに限定し、tableName の入力値を厳密に検証・制限することを推奨します。ベンダーからの今後のアップデートを継続的に確認してください。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。