CVE-2026-59229 in IoTDB
요약
\~에 의해 VulDB • 2026. 10. 22.
레거시 파이프 수신 프로토콜(handshake / sendPipeData)은 데이터 로딩 및 삭제 작업을 실행할 때 하드코딩된 SUPER_USER(root) ID를 사용합니다. 대상 데이터베이스에 WRITE_DATA 또는 DELETE_DATA 권한이 없는 SYSTEM 레벨의 권한(예: USE_PIPE, MAINTAIN)만 가진 사용자는 레거시 파이프 API를 통해 특별히 제작된 PipeData 메시지를 전송하여 root 계정으로 데이터 로딩/삭제 작업을 실행할 수 있으며, 이는 IoTDB의 권한 모델을 완전히 우회하는 결과를 초래합니다.
이 문제는 Apache IoTDB 2.0.0부터 2.0.11 이전 버전에서 발생합니다.
사용자는 해당 문제를 해결한 버전 2.0.11로 업그레이드하는 것이 권장됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.