graph の脆弱性(CVE-2026-42072・CVSS 9.8)

概要

graph に脆弱性 (CVE-2026-42072) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。NORNICDB_ADDRESS 経由で攻撃可能。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Summary

The --address CLI flag (and NORNICDB_ADDRESS / server.host config key) is plumbed through to the HTTP server correctly but never reaches the Bolt server config. The Bolt listener therefore always binds to the wildcard address (all interfaces), regardless of what the user configures.

On a LAN, this exposes the graph database — with its default admin:password credentials — to any device sharing the network.

Version

nornicdb v1.0.39
Built from commit afe7c9d on main
Platform: macOS (darwin 25.4.0, arm64)

Reproduction

$ nornicdb serve --address 127.0.0.1 --bolt-port 7687 --http-port 7474 ...

Output claims Bolt is on localhost:

Bolt server listening on bolt://localhost:7687

But the actual socket:

$ netstat -an -p tcp | grep 7687
tcp46      0      0  *.7687                 *.*                    LISTEN

$ lsof -iTCP:7687 -sTCP:LISTEN -n -P
nornicdb ... IPv6 ... TCP *:7687 (LISTEN)

HTTP port is correctly bound:

tcp4  127.0.0.1.7474   *.*  LISTEN

Reachable from another host on the LAN:

$ nc -z 192.168.x.y 7687
Connection to 192.168.x.y port 7687 [tcp/*] succeeded!

Setting NORNICDB_BOLT_ADDRESS=127.0.0.1 or server.host: "127.0.0.1" in config.yaml has no effect on the Bolt listener.

Root Cause

In pkg/bolt/server.go:774-776:

func (s *Server) ListenAndServe() error {
    addr := fmt.Sprintf(":%d", s.config.Port)
    listener, err := net.Listen("tcp", addr)
    ...
}

`b…

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

NornicDBのデータベースソフトウェアに深刻な脆弱性が見つかりました。この問題により、攻撃者は企業内ネットワークを介してデフォルトの管理者パスワードを使用してデータベースにアクセスできる可能性があります。影響を受けるバージョンは1.0.42未満で、修正バージョンは1.0.42-hotfixです。すぐにソフトウェアを更新し、暫定対策として、ネットワーク上の不正アクセスを防ぐためにファイアウォールを設定してください。

NornicDBにおけるこの脆弱性は、CLIフラグ --address がBoltサーバ設定に正しく伝播されないことに起因します。結果として、Boltリスナはユーザの指定に関わらずワイルドカードアドレスにバインドします。この問題はv1.0.42未満のバージョンに影響し、パッチはv1.0.42-hotfixで適用されています。暫定回避策として、ホストファイアウォールルールでBoltポート(通常7687)への非ローカルアクセスをブロックすることが推奨されます。

❓ 何が問題か

CVE-2026-42072 に 脆弱性 (CWE-1392) があります。攻撃者は NORNICDB_ADDRESS を経由して脆弱な処理に到達し、認証なしで悪用できます。

📍 影響範囲

CVE-2026-42072 のうち影響範囲: <1.0.42。攻撃箇所: NORNICDB_ADDRESS / server.host / afe7c9d / main。

🔥 重要度

重要度: 最重要 (CVSS 9.8/10)。悪用されるとシステム全体を乗っ取られる可能性があります

🔧 修正方法

ベンダー公式アドバイザリの修正版に更新してください。(修正前: <1.0.42 該当バージョンが本番稼働中なら直ちに更新計画を立案)

🛡️ 暫定回避

修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。

🔍 検知方法

Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。

類似する過去の事例過去のCVE/インシデントから類似事例を抽出

CVE-2022-0185

unauthorized access due to a network misconfiguration.

CVE-2021-3156

Improper handling of wildcard characters leading to privilege escalation.

CVE-2026-40001

Another case of improper server configuration leading to data exposure.

もし自社で起きたら業務シナリオごとの想定影響

📌 In an e-commerce setting

Attacker could access customer data and orders, leading to a data breach.

📌 Within a company’s internal systems

Sensitive financial data could be exposed to unauthorized internal users.

📌 In a SaaS multi-tenant architecture

One tenant's data may be improperly accessed by another tenant.

推奨アクション

Update software to v1.0.42-hotfix immediately; use firewall rules to block unauthorized access until patching.

対応アクション

SOC/SREチームが順番に実行すべき具体的なステップとコマンド例

1
影響範囲の特定 identify
```
Audit SBOM/dependencies for affected components.
```
依存マニフェストで影響コンポーネントを特定する。
2
バージョン照合 verify
```
Confirm if version satisfies `<1.0.42`
```
Step 1 で見つかったバージョンが影響範囲 <1.0.42 に該当するか照合。本番で稼働中ならインシデント扱い。
7
事後検証 verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

影響パッケージ

go github.com/orneryd/nornicdb

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"1.0.42-hotfix"}]}]

参照URL

advisory nvd.nist.gov
package github.com
web github.com
web github.com
web github.com
web github.com
web github.com

概要