vs gauge
区分
JVN番号
タイトル
JVN
深刻度
最終更新日
CVE番号
New
JVNDB-2026-015121

CERNのRucioにおけるSQL インジェクションの脆弱性

8.8
2026/05/12 10:20
CVE-2026-29080
JVNDB-2026-015121
CERNのRucioにおけるSQL インジェクションの脆弱性
概要
`FilterEngine.create_sqla_query()` におけるSQLインジェクション脆弱性により、認証済みの任意のRucioユーザーがDID検索エンドポイント（`GET /dids/scope/dids/search`）を介してバックエンドデータベースに対して任意のSQLを実行できます。Oracle環境では攻撃者が制御するフィルターキーと値がPythonの `.format()` によって `sqlalchemy.text()` に直接挿入され、パラメータ化を完全にバイパスします。これにより認証トークン、パスワードハッシュ、すべての管理データ識別子の抽出を含むデータベース全体の完全な侵害が可能となります。本脆弱性はバージョン1.27.0以降から35.8.5、38.5.5、39.4.2、40.1.1より前のバージョンに影響します。脆弱性は `lib/rucio/core/did_meta_plugins/filter_engine.py` の `create_sqla_query()` メソッドに存在し、データベース方言がOracleの場合、JSONメタデータカラムのフィルター式がPython文字列フォーマットを用いた `text()` によって構築されます。`key` と `value` はHTTPクエリパラメータに由来する攻撃者制御の文字列であり、`text()` は内容のエスケープやパラメータ化を行わない生のSQLフラグメントを生成します。認証済みの任意のRucioユーザーはDID検索APIを介してこれを悪用でき、バックエンドデータベースに対して任意のSQLを実行可能で、すべての管理データ識別子および識別子、トークン、アカウント、rse_settings、ルールなどの機密テーブルの情報漏洩やデータベース内容の変更を引き起こす可能性があります。本問題はデフォルトのjson_metaプラグインを使用するOracle環境に影響し、PostgreSQLやMySQL環境には影響しません。本脆弱性はバージョン35.8.5、38.5.5、39.4.2、40.1.1で修正されています。
想定される影響と対策
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
JVN情報　※( )内はCVSS v2の値
深刻度 8.8
CVECVE-2026-29080
公表日2026/05/06 00:00
登録日2026/05/12 10:20
更新日2026/05/12 10:20
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン