CVE-2026-49989 in CrateDB
要約
〜によって VulDB • 2026年08月14日
CrateDBは分散型SQLデータベースです。バージョン6.2.8および6.3.2より前では、認証済みユーザーであれば、そのSHA-1ダイジェストを知る任意のblobを読み取または削除でき、また`GRANT`に関係なく、任意のblobテーブルに条件なしで新しいblobを配置することができます。CrateDBにはblobストレージへのアクセス方法が2つあります。SQL（`SELECT ... FROM blob.<table>` など）とblob HTTP API（`GET|PUT|DELETE /_blobs/{table}/{digest}`）です。SQLパスは`AccessControl`を経由するため、権限付与を強制します。そのため、テーブルに対する権限がないユーザーに対しては `SELECT digest FROM blob.secret_blobs` は失敗します。一方、HTTPパスではリクエストの認証は行われますが、認証済みユーザーがそのテーブルにアクセスできるかどうかについて`AccessControl`に問い合せません。したがって、権限のないユーザーはSQLからは `MissingPrivilegeException` を受け取りますが、`GET /_blobs/secret_blobs/<digest>` からは `200 OK` およびblobのバイト列が返されます。`BLOB TABLE`を使用していないデプロイメントには影響ありません。認証自体は正常に機能しており、このバグの本質は、「誰としてでも認証されていれば任意のblob操作が可能とみなされる」点にあります。バージョン6.2.8および6.3.2で本問題が修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.