30秒で判断
- 対応すべき人: 脅威インテリジェンス管理ツール「flowintel」をバージョン4.0.0より前で運用している人
- 対応不要な人: flowintelを利用していない人、すでに4.0.0以降を利用している人
- 確認コマンド: flowintelのバージョン情報を確認し
4.0.0より前かどうかを確認
概要
脅威インテリジェンス管理ツール「flowintel」のデータベースマイグレーション処理に、SQLインジェクションの脆弱性が見つかりました。マイグレーション処理がデータベースに保存されたコネクタ識別子の値を読み取り、パラメータ化せずに直接SQL文へ組み込んでいることが原因です。事前にデータベースへの書き込み権限を持つ攻撃者が悪意ある識別子の値を仕込んでおくと、その後アプリケーションのアップグレード時にマイグレーションが実行された際、意図しないSQL文が実行されてしまう可能性があります。この脆弱性の悪用にはあらかじめデータベースへの書き込みアクセスが必要であるため、外部から直接狙われるリスクは一定程度限定されますが、データの漏えい・改ざん・削除につながる可能性があるため注意が必要です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.3 (High) |
| CVSSバージョン | 4.0 |
| CWE | CWE-89（SQL Injection） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| flowintel | flowintel | < 4.0.0 |
修正バージョンと回避策
バージョン 4.0.0 で修正されています。修正コミットがGitHub上で公開されています。該当バージョンを利用している場合は、4.0.0以降へのアップデートを推奨します。アップデートが難しい場合は、データベースへの書き込み権限を持つユーザー・プロセスを最小限に絞り込み、不審な識別子の値が保存されていないかを事前に確認することを推奨します。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。