CVE-2024-9202 in Dataspace Components
要約
〜によって VulDB • 2026年06月25日
Eclipse Dataspace Componentsのバージョン0.1.3から0.9.0において、コネクタコンポーネントは要求されたカタログ内で他者が参照できるデータセット（＝データオファ）をフィルタリングし、認可された当事者だけが制限付きオファを表示できるようにしています。
しかし、単一のデータセットをリクエストする際には同じフィルタリングプロセスが適用されるべきですが、現在正しいフィルタリングが行われていない可能性があります。
これにより、アクセス権限のないデータセットを参照できてしまい、機密情報が漏洩するリスクがあります。この脆弱性を悪用するには制限付きデータセットのIDを知る必要がありますが、自動化された方法で多数のIDを試すことで、一部のIDは推測可能となります。
影響を受けるコード: DatasetResolverImpl, L76-79 https://github.com/eclipse-edc/Connector/blob/v0.9.0/core/control-plane/control-plane-catalog/src/main/java/org/eclipse/edc/connector/controlplane/catalog/DatasetResolverImpl.java
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.