30秒で判断
- 対応すべき人: REDCap（研究データ収集プラットフォーム）13.3.0 以上を運用し、公開アンケートを外部に提供している
- 対応不要な人: REDCap を利用していない、13.3.0 未満を使用している、ベンダー提供の修正パッチを適用済み
- 確認コマンド: REDCapの管理画面（Control Center）でバージョンを確認
概要
REDCap は医療・研究機関で広く使われるWebベースのデータ収集プラットフォームです。本脆弱性は、公開アンケートのパススルールーティングとデータインポート処理のロジックに存在する未認証リモートコード実行です。
攻撃者はHTTPリクエストを操作して、公開アンケートのコンテキストから本来アクセスできないコントローラルートへ到達し、インポート処理時に細工したファイルパス/ストリームパラメータを与えることで、サーバー上で任意のコードを実行できる可能性があります。認証は不要ですが、悪用には有効な公開アンケートハッシュの知識が必要とされています。外部に公開アンケートを提供している環境では特に影響が大きいため、優先的な対応を推奨します。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8（CRITICAL） |
| CWE | CWE-73（ファイル名/パスの外部制御）, CWE-94（コードのインジェクション） |
| 攻撃の起点 | 公開アンケート経由の細工HTTPリクエスト（認証不要） |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| REDCap | Vanderbilt University | 13.3.0 以上 |
修正バージョンと回避策
ベンダー（開発元）から提供される修正パッチを適用してください。適用までの緩和策として、公開アンケートやデータインポート機能の一時停止、Webアプリケーションファイアウォール（WAF）による不審なリクエストの遮断、外部からのアクセス制限を検討してください。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。