30秒で判断
対応すべき人
- IBM CockroachDB PostgreSQL for IBM VPCを利用している
- バージョン26.2.0〜26.2.3、25.4.0〜25.4.12、25.2.0〜25.2.20のいずれかを使用している
対応不要な人
- IBM CockroachDB PostgreSQL for IBM VPCを利用していない
- 対象バージョン範囲外(修正済みバージョン)を使用している
確認コマンド
-- CockroachDBのバージョン確認
SELECT version();
概要
本脆弱性(CVE-2026-18893)は、IBM CockroachDB PostgreSQL for IBM VPCにおいて、ユーザー定義関数(User-Defined Function)を経由した権限昇格が可能になるという問題です。
通常、データベースのユーザー権限は役割(ロール)ごとに制限されていますが、本脆弱性が存在すると、限定的な権限を持つユーザーがユーザー定義関数を利用することで、本来許可されていない高い権限での操作が可能になるおそれがあります。これにより、データの不正な読み取りや変更につながる可能性があります。
CVSSベクトル
| 項目 | 内容 |
|---|---|
| CVSSスコア | 7.1 (High) |
| CVSSバージョン | 3.1 |
| CWE | CWE-269(不適切な権限管理) |
| 前提条件 | データベースへの認証済みアクセス |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| IBM CockroachDB PostgreSQL for IBM VPC | 26.2.0 - 26.2.3 |
| IBM CockroachDB PostgreSQL for IBM VPC | 25.4.0 - 25.4.12 |
| IBM CockroachDB PostgreSQL for IBM VPC | 25.2.0 - 25.2.20 |
修正バージョンと回避策
IBMが提供する公式のサポート情報を確認し、修正バージョンへのアップデートまたはパッチの適用を推奨します。アップデートが難しい場合は、ユーザー定義関数の作成・実行権限を信頼できるユーザーのみに限定するなど、権限管理の見直しを検討してください。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。