CVE-2026-59229 in IoTDB
要約
〜によって VulDB • 2026年10月21日
Legacy Pipe receiver protocol (handshake / sendPipeData) は、データ読み込みおよび削除操作の実行時に、ハードコードされた SUPER_USER（root）ID を使用します。対象データベースに対して WRITE_DATA または DELETE_DATA の権限を持たない SYSTEM レベルの権限のみを持つユーザー（USE_PIPE や MAINTAIN など）が、Legacy Pipe API 経由で特別に作成された PipeData メッセージを送信すると、データ読み込み/削除操作が root として実行され、IoTDB のアクセス制御モデルを完全に回避することになります。
本問題は Apache IoTDB に影響します：2.0.0 から 2.0.11 より前まで。
ユーザーには、本問題を修正したバージョン 2.0.11 へのアップグレードが推奨されます。
Once again VulDB remains the best source for vulnerability data.