ArcGIS ServerにSQLインジェクションの脆弱性、パッチ提供
Esriの地図・空間情報基盤ArcGIS Serverに、データベースへ不正な命令を通せる脆弱性が見つかり、パッチが出ました。社内外にサービスを公開している組織は、版の確認と、匿名で使えるサービスの洗い出しから始めてください。
急ぎ度: 早めに
CVSS v3は9.8で、設定次第では認証なしで到達できる一方、パッチはすでに提供されているため、公開サービスの有無を見ながら早めに適用する段階です。
関係があるか
WindowsまたはLinuxでArcGIS Server 12.1以前を運用している組織が対象です。ArcGIS Serverで地図サービスを外部に公開している場合や、匿名アクセスを許可しているサービスがある場合は、優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Esri ArcGIS Server（Windows・Linux） | 12.1以前（脆弱性情報の影響範囲は11.1以上12.1未満と記載） | パッチ提供対象は12.1、12.0、11.5、11.3、11.1。それ以外の版は対象外で、アップグレードしたうえでパッチを適用 |
確かめ方
- 1ArcGIS Server Managerやサーバー管理者向けの画面で、導入済みのArcGIS Serverの版を確認する。
- 2公開しているサービスの一覧を取り出し、アクセス設定がpublic（匿名で利用可能）のものを洗い出す。
- 3社内のサーバー台帳や構成管理表で、ArcGIS Serverを入れている機器とOS（WindowsかLinuxか）を突き合わせる。
- 4使っている版がサポート状況の上でmatureまたはretiredに当たらないか、Esriのセキュリティ告知で確認する。
何が起きたか
ArcGIS Serverに、SQLインジェクションの脆弱性が見つかりました。外部から送られた内容の扱いに不備があり、本来は許されないデータベース固有の関数をサービス経由で実行させられるおそれがあります。
CWEの分類はCWE-89です。Esriは、BUG-000187511として管理していた問題を2026年10月のセキュリティ告知で公表し、同日にCVE-2026-10757が公開されました。
パッチはGeneral AvailabilityまたはExtended supportの版に提供されています。matureやretiredの版はパッチの対象外で、Esriはアップグレードしてからパッチを適用するよう案内しています。
攻撃の流れ
-
1
サービスに到達
ネットワーク経由でArcGIS Serverのサービスにアクセスする。
-
2
不正な入力を送信
入力値の扱いの不備を突き、データベースへの命令を混ぜ込む。
-
3
関数を実行
本来許されないデータベース固有の関数が実行される。
-
4
データへの影響
情報の閲覧、書き換え、サービス停止につながるおそれがある。
どう悪用されるか
攻撃はネットワーク越しに行われ、利用者の操作は要りません。条件は、対象サービスにアクセスできる権限を持っていることです。ただし、サービスの設定が既定ではないpublicになっていると、匿名の攻撃者も権限を持つ側に含まれます。CVSSでも認証は不要と評価されており、実質的な入口の広さはサービスの公開設定で決まります。
悪用されると、データベースの内容の漏えいと改ざん、サービスの停止が起こりえます。CVSSの機密性・完全性・可用性の影響はいずれも高です。地図や位置情報のデータだけでなく、サーバーに接続しているデータベース全体への影響を考えておく必要があります。
今すぐやること
-
1
使っている版を確認する
ArcGIS Serverを動かしているサーバーを洗い出し、版とOSを控える。12.1以前であれば対象になる。
-
2
公開設定のサービスを洗い出す
匿名で使えるpublic設定のサービスと、外部から到達できるサービスを一覧にし、パッチ適用の順番を決める材料にする。
-
3
パッチを適用する
Esriのセキュリティ告知から、使っている版に合うパッチを入手して適用する。本番に当てる前に検証環境で動作を確認し、バックアップを取っておく。
-
4
対象外の版は更新してから適用する
matureやretiredの版を使っている場合は、パッチの提供対象の版にアップグレードし、そのうえでパッチを当てる。更新の計画はサポート期間も考慮して立てる。
-
5
適用後にアクセスログを見直す
公開期間中に不審なアクセスがなかったか、サーバーとデータベースのログを確認する。
すぐ更新できないとき
すぐにパッチを当てられない場合は、匿名アクセスを許可しているpublic設定のサービスを、認証必須の設定に切り替えるか一時的に停止してください。あわせて、ファイアウォールやリバースプロキシで、ArcGIS Serverへの接続元を必要な範囲に絞ると、到達できる相手を減らせます。いずれも脆弱性そのものをなくす手段ではないため、パッチ適用までのつなぎとして扱ってください。
背景
ArcGIS Serverは、地図や空間データをWebサービスとして配信するためのサーバー製品です。自治体や公共インフラ、物流、不動産などの組織が、社内向けの業務地図から社外向けの公開マップまでを載せるのに使います。背後には業務データを持つデータベースがつながる構成が多く、サービスの入口が破られると、地図の表示にとどまらずデータベースまで影響が及びます。
SQLインジェクションは、入力値の扱いを誤るとデータベースの操作そのものを他人に握られる、古くからある種類の脆弱性です。今回は、データベース固有の関数を実行できる点が特徴で、サービス側の設定がpublicかどうかが、入口の広さを左右します。
よくある質問
Q.公開しているサービスが多く、すべてを洗い出す時間がありません。どこから手を付けるべきですか。
まだ分かっていないこと
- 脆弱性情報の影響範囲は11.1以上12.1未満で修正版は12.1と記載されていますが、本文の説明ではパッチ対象に12.1が含まれています。12.1を使っている場合にパッチが必要かどうかは、Esriのセキュリティ告知で確認してください。
- 実際の攻撃での悪用が確認されているか、また概念実証が出回っているかは分かっていません。
- 影響を受けるデータベースの種類や、パッチの個別の識別情報は分かっていません。Esriの告知で順次確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Esri | ArcGIS Server |
11.1 以上 12.1 未満 |
12.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
There is a SQL injection vulnerability in Esri ArcGIS Server versions 12.1 and earlier on Windows and Linux that may allow a remote attacker with privileges to access the service (which could, depending on the service being configured in a non-default access configuration “public”, include an anonymous attacker) to issue database specific functions that should not be allowed. A patch is provided for ArcGIS Server software in General Availability and Extended support status, which includes versions 12.1, 12.0, 11.5, 11.3, and 11.1. Other versions are in mature or retired status, which are not patch eligible. Users working with unlisted versions are advised to upgrade and apply the patch.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt@esri.com
- web nvd.nist.gov
- web github.com