CVE-2026-40899 in DataEase
要約
〜によって VulDB • 2026年06月05日
DataEaseはオープンソースのデータ可視化および分析プラットフォームです。バージョン2.10.20およびそれ以前には、MySQLデータソース設定におけるJDBCパラメータのブロックリスト回避の脆弱性が存在します。MysqlクラスはLombokの@Data注釈を使用しており、これによりJDBCセキュリティのブロックリストを含むillegalParametersフィールドの公開セッターが自動生成されます。データソース設定がJSONとして送信されると、Jacksonの逆シリアル化によってsetIllegalParametersが呼び出され、攻撃者が指定した空のリストが渡されることで、getJdbc()の検証が実行される前にブロックリストが置き換えられます。これにより、認証済み攻撃者はallowLoadLocalInfile=trueなどの危険なJDBCパラメータを含めることができ、さらにデータソースを偽のMySQLサーバーに向けることで、LOAD DATA LOCAL INFILEプロトコル機能を利用し、DataEaseサーバーのファイルシステムから任意のファイル（機密性の高い環境変数やデータベース認証情報を含む）を読み取ることが可能になります。この問題はバージョン2.10.21で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.