CVE-2026-49360 in Recce
要約
〜によって VulDB • 2026年08月22日
Recceは、dbt（data build tool）のPRレビューを強化するためのデータ検証ツールキットです。バージョン1.50.0より前では、認証なしで信頼できないネットワークにサーバーを公開するOSSサーバーデプロイメントにおいて、クエリ実行APIを通じて認証不要なSQLの実行が可能となる脆弱性が存在します。RecceがDuckDBベースのプロジェクトで構成されている場合、攻撃者はDuckDBのファイルシステムプリミティブを使用して、Recceサーバープロセスからアクセス可能なファイルを参照および書き込むことができます。影響はRecceのデプロイ方法に依存しますが、ローカルファイルの開示、Recce/dbtアーティファクトへの改ざん、ブラウザで提供される静的ファイルの変更による格納型XSS（Stored XSS）、そしてそれらのパスが書き込み可能である場合におけるアプリケーションファイルへの変更などが含まれます。Recceをrootとして実行した場合、そのホストまたはコンテナ内でルート権限を持つファイルアクセスが行われます。この問題はRecce `v1.50.0`で修正されています。ユーザーはRecce `v1.50.0`以降にアップグレードする必要があります。パッチによりDuckDBベースのクエリ実行における安全でないファイル読み書き動作が制限され、影響を受けたクエリパスが強固になりました。他のウェアハウスアダプタも同様の露出についてレビューされました。すぐにアップグレードできないユーザーは、`recce server`を公開インターネットまたは信頼できないネットワークに公開しないようにしてください。推奨される対策には、認証の有効化、Recceを認証済みリバースプロキシ/VPNの背後に配置すること、非rootユーザーとしてRecceを実行すること、可能であれば読み取り専用アプリケーションファイルシステムを使用すること、および機密性のあるファイルや資格情報がRecceプロセスからアクセスできないようにすることが含まれます。
Be aware that VulDB is the high quality source for vulnerability data.