パスワードリセットAPIに潜んでいた「認証不要SQLi」 #
BI(ビジネスインテリジェンス)ツール大手Metabaseに、認証を経ずに悪用できるSQLインジェクションの脆弱性(CVE-2026-72898)が見つかった。JPCERT/CCが8月14日付で注意喚起を出し、すでにゼロデイとして悪用され、複数組織が被害を報告していると明記した点が重い。概念実証コードとみられる情報も出回っており、攻撃は今後さらに広がる可能性が高い。
侵入経路は /api/session/reset_password というパスワードリセット用エンドポイント。本来ログイン前のユーザーが使う機能だけに、認証チェックの手前で処理されるSQLクエリの組み立てに不備があったとみられ、未認証の攻撃者がそのままDBへ任意のクエリを差し込める状態だった。影響を受けるのは58系以前を除く各メジャーライン(v58.24/v59.21/v60.17/v61.11/v62.9/v63.5より前)と幅広く、長期間にわたり社内で使われ続けてきた環境ほど取り残されやすい構図だ。
BIツールが狙われる理由 #
Metabaseのようなセルフホスト型BIダッシュボードは、売上・顧客・人事データなど**複数システムを横断した「集約済みの旨味」**を一箇所に抱えている。Webアプリ本体を1つ1つ突破するより、接続済みのBIツールを1つ落とす方が投資対効率が良いというのが攻撃者側の理屈で、近年は監視カメラ管理画面や社内ダッシュボードなど「地味だが横断アクセス権を持つ」ミドルウェアが狙われる傾向が続いている。今回のようにパスワードリセットという“ログイン前でも動く”機能面が突かれるのも定番パターンで、認証境界の外側にある処理ほど検証が甘くなりがちという典型例といえる。
直ちに該当バージョン以降へアップデートすること。即時パッチが難しい場合は、ネットワーク機器側で /api/session/reset_password へのアクセスを遮断する暫定策が有効。あわせてアクセスログを確認し、該当エンドポイントへの不審な通信履歴から侵害有無を調査することが推奨されている。
自組織でMetabaseを運用している場合、バージョン確認は数分で終わる。後回しにする理由はない。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。