Redshift JDBC Driverのコード実行脆弱性、修正版あり
Amazon Redshift JDBC Driverの2.3.0より前の版に、接続設定を通じてアプリケーション上で任意のコードを実行されるおそれのある脆弱性が公表されました。Javaアプリに組み込んでいる組織は、版を確認して2.3.0以降に更新してください。
急ぎ度: 早めに
CVSS v3は8.1、v4は9.2で、修正版の2.3.0が公開済みであり、悪用には前提条件があることから、通常の更新サイクルより前倒しで適用するのが妥当と考えます。
関係があるか
Amazon RedshiftにJDBCで接続するJavaアプリケーション、バッチ処理、BIツールなどで、このドライバーを使っている組織が対象です。ドライバーをアプリ本体に同梱している場合も含みます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Amazon Redshift JDBC Driver | 2.3.0より前のすべての版 | 2.3.0 |
確かめ方
- 1Maven・Gradleのプロジェクトは、依存関係の一覧にRedshiftのJDBCドライバーが含まれていないか、版はいくつかを確認します。
- 2アプリケーションサーバーやバッチ実行環境に置いたjarファイルを検索し、ファイル名や中身の版情報が2.3.0より前でないかを調べます。
- 3BIツールやデータ連携ツールなど、ドライバーを同梱している製品は、製品側のドライバーの版を確認します。ベンダーが更新を出しているかも調べてください。
何が起きたか
Amazon Redshift JDBC Driverの接続設定の扱いに不備があり、アプリケーションと同じ権限で任意のコードが実行されるおそれがあります。
問題があるのは、接続パラメーターとAWS認証情報のプロファイルを処理する部分です。設定値で指定された内容に従ってクラスを読み込む処理が、安全に制限されていません（CWE-470）。
公表は2026年11月3日で、2.3.0で修正されました。AWSのセキュリティ告知とGitHubのアドバイザリが公開されています。
攻撃の流れ
-
1
設定への干渉
接続URLまたはAWS認証情報のプロファイルの内容に、第三者が影響を与えます。
-
2
ドライバーが受け取る
細工された設定値が、そのままドライバーの接続処理に渡ります。
-
3
想定外のクラス読み込み
ドライバーが、設定で指定されたクラスを検証せずに読み込みます。
-
4
コード実行
アプリケーションの権限で、意図しないコードが動きます。
どう悪用されるか
悪用には、攻撃者がJDBCの接続URL、またはAWS認証情報のプロファイルの内容に影響を与えられることが前提になります。さらに、アプリケーションのクラスパス上に、悪用に使える適切なクラスが存在しなければなりません。この2点があるため、CVSS v3では攻撃条件の複雑さが「高」と評価されています。
それらがそろえば、ネットワーク経由で、認証も利用者の操作も不要です。実行されるコードはアプリケーションの権限で動くため、そのアプリケーションが扱えるデータや接続先にまで影響が及びます。機密性・完全性・可用性のいずれも「高」と評価されています。
接続URLを画面や外部システムの入力から組み立てているアプリや、設定ファイルを多くの人が書き換えられる環境では、前提を満たしやすくなります。自社の構成でその前提が成り立つかを、更新計画と並行して見ておくとよいでしょう。
今すぐやること
-
1
使用箇所を洗い出す
Redshift JDBC Driverを使っているアプリケーション、バッチ、BIツールの一覧を作り、それぞれの版を確認します。自社開発のアプリだけでなく、ドライバーを同梱した市販ツールも対象です。
mvn dependency:tree -Dincludes=com.amazon.redshift -
2
2.3.0以降に更新する
依存関係の版を2.3.0以降に上げ、ビルドし直して再デプロイします。jarを直接配置している環境では、古いjarを残さず置き換えてください。更新後に接続テストを行い、動作に問題がないかを確かめます。
-
3
接続設定の出どころを点検する
接続URLとAWS認証情報のプロファイルが、外部の入力や、書き換え権限の広い場所から組み立てられていないかを調べます。更新の完了前でも、ここは先に直せます。
-
4
ベンダーの告知を確認する
AWSのセキュリティ告知とGitHubのアドバイザリで、影響範囲や補足の案内を確認します。同梱製品を使っている場合は、その製品のベンダーが出す更新情報も追ってください。
すぐ更新できないとき
すぐに更新できないときは、接続URLとAWS認証情報のプロファイルを、信頼できない入力から組み立てない構成にします。あわせて、それらを記した設定ファイルやプロファイルの書き換え権限を、必要な担当者だけに絞ってください。根本的な対策は修正版への更新です。
背景
JDBCドライバーは、アプリケーションとデータベースをつなぐ部品です。アプリケーションのプロセスの中で動くため、ドライバーでコードが実行されれば、そのアプリケーションが持つ接続情報や権限をそのまま使えることになります。Amazon Redshift JDBC Driverは、AWSのデータウェアハウスであるRedshiftに、業務アプリやBIツール、データ連携の処理から接続する入口にあたります。分析用の大量のデータに触れる経路なので、ドライバーの扱いは見落とされがちです。
JDBCドライバーでは、接続プロパティに書かれたクラス名をもとにクラスを読み込む機能が、過去にも問題になっています。たとえばPostgreSQL JDBC Driverでは2022年に、接続プロパティで指定したクラス名が十分に検証されずに読み込まれる問題（CVE-2022-21724）が修正されました。今回のRedshift JDBC Driverも、設定値に従ってクラスを読み込む処理が出発点です。ただし悪用には、そのとき使えるクラスがアプリケーション側に存在することが条件で、依存ライブラリの構成によって影響が変わります。
よくある質問
Q.Redshiftのクラスター側で、設定変更や更新は必要ですか。
Q.CVSS v3の8.1とv4の9.2で、数値が違うのはなぜですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| AWS | amazon-redshift-jdbc-driver |
2.3.0 未満 |
2.3.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unsafe reflection in the connection parameter and credentials profile handling of Amazon Redshift JDBC Driver before 2.3.0 might allow an actor who can influence the JDBC connection URL or the AWS credentials profile to execute arbitrary code in the application context, provided a suitable class is available on the application classpath.
To remediate this issue, users should upgrade to version 2.3.0 or later.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory github.com
- advisory nvd.nist.gov
- AWS aws.amazon.com
- web github.com
- web aws.amazon.com
- web github.com