Datalore、閲覧権限でコード実行の脆弱性 修正版あり
JetBrains Datalore 2026.4より前の版で、閲覧のみで共有された協力者がノートブックの計算内でコードを実行できる脆弱性が公表されました。共有機能を使う組織は、2026.4への更新と共有先の権限の見直しを進めてください。
急ぎ度: 早めに
CVSS v3は9.0で深刻度はcriticalですが、修正版2026.4がすでに公開されているため、定期メンテナンスを待たずに更新を進める段階です。
関係があるか
Dataloreでノートブックを他のユーザーと共有し、閲覧のみの権限で協力者を招いている組織が対象です。自社で動かしている版が2026.4より前なら該当します。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| JetBrains Datalore | 2026.4より前のすべての版 | 2026.4 |
確かめ方
- 1Dataloreの管理者に、利用中の版が2026.4以上かを確認します。自社で運用している環境と、JetBrainsが提供する環境のどちらを使っているかも合わせて確認してください。
- 2共有しているノートブックの一覧から、閲覧のみの権限で招いているユーザーがいるかを調べます。社外の協力者や、すでに業務で関わっていないアカウントが残っていないかも見ます。
- 3JetBrainsが公開している修正済みの問題の一覧で、自社の提供形態に修正が反映済みかを確認します。
何が起きたか
JetBrains Datalore 2026.4より前の版に、権限の境界が守られない脆弱性があります。ノートブックを閲覧のみの権限で共有された協力者が、本来は許されないはずのコード実行を、ノートブックの計算の中で行えてしまいます。
分類は認可の不備（CWE-863）で、CVE番号はCVE-2026-123279です。CVSS v3は9.0、深刻度はcriticalと評価されています。公表は2026年11月6日で、同じ日に修正版2026.4が示されています。
攻撃の流れ
-
1
閲覧権限で共有
ノートブックの協力者が、閲覧のみの権限でDataloreに参加している。
-
2
計算内で実行
利用者の操作をきっかけに、ノートブックの計算の中で意図しないコードが動く。
-
3
権限を越えて影響
ノートブック本来の権限の範囲を超えて、機密性・完全性・可用性に影響が及ぶ。
どう悪用されるか
CVSSのベクトルでは、ネットワーク経由で攻撃でき、攻撃の複雑さは低いとされています。必要な権限は低く、閲覧のみの協力者として参加できれば足ります。一方で、利用者の何らかの操作が必要です。
被害の大きさは、機密性・完全性・可用性のすべてが高と評価されています。影響の範囲が元の権限を超えて広がる（スコープ変更）とされているため、閲覧者という立場から想定される被害より大きくなる点に注意が必要です。
今すぐやること
-
1
利用中の版を確認する
Dataloreの版が2026.4より前かを確かめます。運用形態によって更新の担い手が変わるため、自社で更新するのか、提供元の対応を待つのかも、このときに整理します。
-
2
2026.4以上に更新する
自社で運用している環境は、修正版2026.4以上へ更新します。更新の手順と、提供形態ごとの反映状況は、JetBrainsの修正済み問題の告知で確認してください。
-
3
閲覧のみの共有先を整理する
更新が済むまでの間に、閲覧のみで招いているユーザーを棚卸しします。不要なアカウントと、社外の協力者を優先して外します。
-
4
不審な実行の跡を調べる
更新前の期間について、閲覧権限のユーザーが開いたノートブックで、見覚えのない計算の実行や、データ・接続先への想定外のアクセスがなかったかをログで調べます。
すぐ更新できないとき
公式の回避策は確認できていません。更新できるまでの暫定措置として、閲覧のみで共有しているユーザーを最小限にし、重要なデータに接続したノートブックの共有を一時的に止める方法があります。これは編集部の提案で、ベンダーの案内ではありません。
背景
Dataloreは、JetBrainsが提供するデータ分析向けのノートブック環境です。ブラウザー上でコードを書いて実行でき、複数人でノートブックを共有して作業を進められます。共有するときは、編集できる人と閲覧だけの人を分けるのが一般的な使い方です。
ノートブックはコードを実行すること自体が機能なので、誰にどこまで実行を許すかが、そのまま安全上の境界になります。今回の脆弱性は、閲覧のみという権限の線引きが計算の場面で守られなかったという種類のもので、分類もそのとおり認可の不備です。データ分析基盤には、顧客データや社内の集計データを読み込んだノートブックが置かれがちです。閲覧者に広く共有している組織ほど、影響を確かめておく価値があります。
よくある質問
Q.社内の人にしか共有していない場合も対象ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| JetBrains | Datalore |
2026.4 未満 |
2026.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
In JetBrains Datalore before 2026.4 code execution was possible in a notebook's computation by view-only collaborators
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web jetbrains.com