30秒で判断
対応すべき人:
- MongoDB BI Connector ODBC Driver を利用している
- かつ メタデータ取得関数へ渡すカタログ/スキーマ/オブジェクト名が信頼できない入力から構成され得る
対応不要な人:
- MongoDB BI Connector ODBC Driver を使用していない
- v1.4.9 以降へアップデート済み
確認コマンド:
# インストール済み ODBC ドライバの確認（Linux）
odbcinst -q -d
概要
MongoDB BI Connector ODBC Driver は、TableauなどのBIツールから MongoDB をSQL経由で参照するためのドライバです。本脆弱性では、アプリケーションが 極端に長いカタログ名・スキーマ名・オブジェクト名 をメタデータ取得関数へ渡した場合に、固定長バッファの 境界外へ書き込み が発生します（CWE-190 整数オーバーフロー／境界外書き込み）。
結果として、呼び出し側プロセス内でメモリ破壊が起き、異常終了に至るほか、特定の条件下では 任意コード実行の可能性 があります。ODBCドライバは呼び出し元アプリケーションのプロセス空間内で動作するため、破壊の影響はドライバを利用するアプリ全体に及びます。悪用にはメタデータ取得関数へ長大な名前を渡す必要があり、その入力が外部から制御され得る構成で特に注意が必要です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| CWE | CWE-190（整数オーバーフロー／境界外書き込み） |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 攻撃条件の複雑さ (AC) | 低 (L) |
| 必要な特権 (PR) | なし (N) |
| ユーザーの関与 (UI) | 不要 (N) |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| MongoDB BI Connector ODBC Driver | v1.4.9 より前 |
修正バージョンと回避策
修正バージョン: MongoDB BI Connector ODBC Driver v1.4.9
v1.4.9 以降へアップデートしてください。暫定策として、メタデータ取得に渡されるカタログ/スキーマ/オブジェクト名に対する長さ検証・入力制御を徹底することも有効です。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。