同じ製品で同じ時期に公表された 3 件の脆弱性の 1 つです。まとめた解説: Foglight for Databasesに脆弱性3件、修正版あり
Foglight for Databasesに認証不要のRCE脆弱性
Quest Foglight for Databasesに、認証なしで遠隔からコードを実行されるおそれのある脆弱性が公表されました。Foglightサーバーを運用する組織は、版と修正版の有無を告知で確認し、到達できるネットワークを絞ってください。
急ぎ度: 早めに
認証不要で遠隔からコードを実行でき、CVSSは9.8ですが、公表は2026年11月3日で、修正版の有無を確認してから段取りを組む段階です。
関係があるか
データベースの性能監視にQuest Foglight for Databasesを使っている組織が対象です。とくに、管理サーバーが社外や広い社内ネットワークから到達できる環境は優先して見てください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Quest Foglight for Databases | 影響する版は、ZDI-26-861とQuestの告知で確認してください | 修正版の有無と版番号は、Questの告知で確認してください |
確かめ方
- 1資産台帳や監視基盤の一覧で、Foglight for Databasesを動かしているサーバーがあるかを調べる
- 2管理画面のバージョン情報から、導入している版を控える
- 3そのサーバーに、社外やほかのネットワークセグメントから到達できるかを、ファイアウォールの設定で確認する
何が起きたか
Quest Foglight for Databasesに、遠隔の第三者が任意のコードを実行できてしまう脆弱性が見つかりました。2026年11月3日にZero Day InitiativeがZDI-26-861として公表し、CVE-2026-92189が割り当てられています。CVSSは9.8、重要度は最高の区分です。
問題があるのは、writeTopologySectionToFileという処理です。外部から与えられた値でファイルの書き込み先が決まってしまう型の不備（External Control of File Path）で、本来許されない場所にファイルを置けることが、コード実行につながるとみられます。
修正版の有無や影響する版は、ZDIの説明文だけでは分かりません。Questの告知で確認が必要です。
攻撃の流れ
-
1
サーバーへ到達
ネットワーク上でFoglightの管理サーバーに接続できる位置にいる。
-
2
細工した要求
認証を経ずに、ファイル書き込み先を指定した要求を送る。
-
3
意図しない書き込み
サーバー上の想定外の場所にファイルが作られる。
-
4
コード実行
書き込まれた内容により、サーバー上で任意のコードが動く。
-
5
監視基盤の掌握
監視サーバーの権限で、保持する情報や接続先に手が届く。
どう悪用されるか
ZDIの説明によると、悪用に認証は要りません。ネットワーク越しに管理サーバーへ到達できれば、リモートから試みることができます。利用者に操作させる必要があるかどうかは、説明文には書かれていません。
成功すると、Foglightが動くサーバー上で攻撃者の選んだコードが実行されます。サーバーの乗っ取りに加えて、監視のために保持している各データベースへの接続情報や、そこから横へ広がる被害まで想定しておく必要があります。
今すぐやること
-
1
ベンダーの告知を確認する
Questの告知とZDI-26-861で、影響する版、修正版、回避策の有無を確認します。導入済みの版は、管理画面で控えた版と突き合わせます。
-
2
到達できる範囲を絞る
Foglightの管理サーバーに、インターネットや業務用セグメントから届かないようにします。管理者の端末と、監視対象のデータベースサーバーからの通信だけに限るのが目安です。
-
3
修正版に更新する
修正版が公開されていれば、検証環境で動作を確かめたうえで本番に適用します。監視が一時止まる時間帯を、あらかじめ関係部署に伝えておくと調整が楽です。
-
4
侵害の跡を点検する
公表前から外部に到達できる状態だった場合は、サーバーに見覚えのないファイルや、不審なプロセス、管理画面以外からの通信がないかを見ます。疑わしい点があれば、監視用に登録した資格情報の変更も検討します。
修正版がないあいだのつなぎ
修正版をすぐに適用できないときは、Foglightサーバーへのアクセスを管理用の限られたIPアドレスだけに制限し、インターネットから到達できない状態にしてください。ベンダーが個別の回避策を告知している場合は、そちらも合わせて確認します。
背景
Foglight for Databasesは、OracleやSQL Serverなど複数のデータベースの性能や稼働状況を一か所で監視する製品です。監視サーバーは、各データベースに接続するための資格情報を持つのが通常で、一台が侵害されると、重要なデータを抱えた複数のシステムに影響が及ぶおそれがあります。
ファイルの書き込み先を外部から制御できてしまう型の不備は、保存先の検証が足りないときに生じます。書き込める場所が実行される場所と重なれば、そのままコード実行につながります。今回の処理名からは、トポロジー（構成情報）をファイルに書き出す機能が関わっているとみられます。
よくある質問
Q.ZDIの公表とベンダーの告知は、どちらを信頼すればよいですか。
Q.監視を止めずに対応できますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Quest Foglight for Databases writeTopologySectionToFile External Control of File Path Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Quest Foglight for Databases. Authentication is not required to exploit this vulnerability.
The specific flaw exists within the writeTopologySectionToFile method. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations. An attacker can leverage this vulnerability to execute code in the context of SYSTEM. Was ZDI-CAN-29169.
出典: Zero Day Initiative Published Advisories NVD GitHub Advisory