CouchDBに管理者起点のコマンド実行欠陥、3.5.3で修正
Apache CouchDB 3.5.2 以前に、サーバー管理者が OS 上で任意のシェルコマンドを実行できる欠陥(CVE-2026-86471)が見つかりました。CouchDB を運用している組織が対象で、修正版の 3.5.3 が公開されています。まず自社の版を確認し、3.5.3 以降へ更新してください。
急ぎ度: 早めに
CVSS v4 は 9.3 で深刻度は Critical ですが、悪用には CouchDB のサーバー管理者権限が必要で、修正版がすでに公開されているためです。
関係があるか
Apache CouchDB 3.5.2 以前を、OS を問わず運用しているすべての組織が対象です。管理者の資格情報が漏れたり、管理者アカウントが複数人で共有されていたりする環境では、特に影響が大きくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Apache CouchDB | 3.5.2 以前(3.5.3 未満)。全プラットフォーム | 3.5.3 |
確かめ方
- 1CouchDB が動いているサーバーを洗い出し、版を確認します。社内で把握していない開発・検証用のインスタンスやコンテナも対象に含めてください。
- 2版は、サーバー上で
curl http://localhost:5984/を実行すると、応答のversionに表示されます。設定によっては認証が必要です。 - 3版が 3.5.3 未満であれば対象です。パッケージ管理やコンテナイメージで導入している場合は、イメージのタグや導入元の版情報も確認してください。
- 4CouchDB の管理者アカウントが何人に付与されているか、資格情報が共有されていないかも合わせて点検します。
何が起きたか
オープンソースのデータベース Apache CouchDB に、サーバー管理者の操作を足がかりにして、サーバーの OS 上で好きなコマンドを実行できてしまう欠陥が見つかりました。本来、データベースの管理者ができる操作は CouchDB の中の管理作業に限られるはずですが、この欠陥があると、CouchDB を動かしている OS のユーザーと同じ権限でコマンドを動かせます。
原因は、実行中に変更できる設定値の一つが十分に検証されていないことです。分類は CWE-78(OS コマンドインジェクション)で、入力値の確認が不足したまま、その値が OS のシェルに渡されることで起きる種類の問題です。
Apache は 3.5.2 以前が影響を受けるとし、3.5.3 で修正したと説明しています。回避策が示されているかどうかは、現時点で明らかになっていません。
攻撃の流れ
-
1
管理者権限の取得
攻撃者が CouchDB のサーバー管理者の資格情報を入手するか、管理者自身が悪意を持っています。
-
2
設定値の不正変更
検証されない実行時の設定値に、本来想定されていない内容を設定します。
-
3
OS コマンド実行
その値が OS のシェルで処理され、CouchDB の OS ユーザー権限でコマンドが動きます。
-
4
被害の拡大
データの読み取りや改ざん、同じサーバーや周辺システムへの侵入に発展するおそれがあります。
どう悪用されるか
悪用には、ネットワーク経由で CouchDB に到達でき、かつサーバー管理者の権限を持っていることが前提です。利用者の操作は必要なく、攻撃の複雑さも低いと評価されています。管理者権限が要る点で、誰でも直ちに攻撃できる欠陥ではありません。ただし、管理者の資格情報が弱い、使い回されている、外部に管理画面や API が公開されているといった環境では、前提を満たされやすくなります。
悪用されると、CouchDB を動かしている OS ユーザーの権限で任意のコマンドが実行されます。CVSS v4 では、CouchDB 自体の機密性・完全性への影響に加え、同じ環境の他のシステムへの影響も「高」と評価されています。保存データの漏えいや改ざん、サーバーの乗っ取りが想定される被害です。
実際の攻撃での悪用が確認されたかどうか、悪用を目的とした攻撃コードが出回っているかどうかは、現時点で明らかになっていません。CISA の KEV(悪用が確認された脆弱性の一覧)への掲載についても、確認できていません。
今すぐやること
-
1
CouchDB の版を確認する
運用中のすべての CouchDB(本番・検証・開発、コンテナを含む)の版を洗い出し、3.5.2 以前がないか確認します。
curl http://localhost:5984/ -
2
3.5.3 以降へ更新する
対象の版は 3.5.3 へ更新します。更新前にデータのバックアップを取り、検証環境で動作を確かめてから本番へ反映してください。手順の詳細は Apache の告知を確認してください。
-
3
管理者アカウントを棚卸しする
サーバー管理者の権限を持つアカウントが本当に必要な人だけに付与されているかを確認します。共有アカウントや長期間変更していないパスワードは見直してください。
-
4
ネットワーク上の公開範囲を絞る
CouchDB の API や管理画面がインターネットから直接到達できないか確認します。必要な接続元だけを許可するよう、ファイアウォールなどで制限してください。
-
5
不審な設定変更や操作がないか点検する
更新前の期間について、管理者による設定変更の履歴や、CouchDB を動かす OS ユーザーによる想定外のプロセス実行がないかを、ログで確認します。
すぐ更新できないとき
公式に示された回避策は、現時点で明らかになっていません。更新までの間は、管理者の資格情報の管理を厳しくし、CouchDB への接続元を必要最小限に絞ることで、悪用の前提条件を満たされにくくすることが現実的です。CouchDB を動かす OS ユーザーには、必要最小限の権限だけを与えておくと、万一の被害も抑えられます。
背景
Apache CouchDB は、HTTP の API で JSON 形式の文書を扱うドキュメント指向のデータベースです。アプリケーションの保存先や、端末とサーバー間のデータ同期などに使われます。管理者は HTTP 経由で設定の変更もできるため、管理者権限は、データベースの内部だけでなく、動いているサーバー自体にも影響しうる強い権限です。
OS コマンドインジェクション(CWE-78)は、外部から渡された値の検証が不十分なまま、シェルのコマンドの一部として使われることで起きる、昔からある種類の弱点です。管理者権限を前提とする欠陥でも、管理者の資格情報が漏れれば、データベース上の権限が OS 上のコマンド実行まで広がります。そのため、管理者向けの機能であっても、更新と権限管理の両方が必要になります。
よくある質問
Q.管理者権限が必要なら、それほど急がなくてよいのでしょうか。
Q.3.5.3 に更新するだけで十分ですか。
Q.すでに悪用されているのでしょうか。
まだ分かっていないこと
- 実際の攻撃での悪用の有無、および攻撃コードの公開状況は、現時点で明らかになっていません。
- 修正版を当てられない場合の公式な回避策は、公表されていません。
- 欠陥のある設定値の具体的な名前や、3.5.3 での修正内容の詳細は、ここでは取り上げていません。詳しくは Apache の告知やメーリングリストの投稿を確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Apache Software Foundation | Apache CouchDB |
3.5.3 未満 |
3.5.3 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An unvalidated runtime configuration value in Apache CouchDB 3.5.2 and below on all platforms allows a CouchDB server admin to run arbitrary shell commands as the CouchDB operating system user.
Users are recommended to upgrade to version 3.5.3, which fixes this issue.
出典: NIST National Vulnerability Database NVD GitHub Advisory
参照URL
- web security@apache.org
- web security@apache.org
- web nvd.nist.gov
- web github.com
- web openwall.com