同じ製品で同じ時期に公表された 3 件の脆弱性の 1 つです。まとめた解説: Foglight for Databasesに脆弱性3件、修正版あり
Foglight for Databasesで遠隔コード実行の脆弱性
Quest Foglight for Databasesに、認証なしで外部から任意のコードを実行されるおそれのある脆弱性が公表されました。データベース監視に使っている組織は、ベンダーの告知で影響版と修正版を確認し、管理サーバーへの接続元を絞ってください。
急ぎ度: 早めに
CVSSは9.8で認証も不要ですが、実際の悪用を示す情報は挙がっておらず、公表も2026年11月3日の直後のため、至急ではなく早めの対応が妥当です。
関係があるか
データベースの監視にQuest Foglight for Databasesを使い、その管理サーバーにネットワーク経由で到達できる組織が対象です。社内限定で運用している場合も、確認の対象に入ります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Quest Foglight for Databases | 影響する版はZDI-26-851のアドバイザリとQuestの告知で確認してください | 修正版の版番号もQuestの告知で確認してください |
確かめ方
- 1資産台帳やソフトウェア一覧で、Foglight for Databasesを導入しているかを調べます。
- 2導入していれば、管理コンソールで現在の版を確認し、Questの告知に載っている影響版と照らし合わせます。
- 3管理サーバーにどのネットワークから到達できるかを、ファイアウォールやセキュリティグループの設定で洗い出します。インターネット側から届く経路があれば、優先して対処します。
何が起きたか
Quest Foglight for Databasesに、外部から送られたデータをきっかけに、攻撃者が任意のコードを実行できる脆弱性が見つかりました。ログインは必要なく、CVSS v3の評価は9.8です。
ZDIがZDI-26-851として2026年11月3日に公表しました。問題があるのはbaseRmiServiceExporterというコンポーネントで、信頼できないデータをオブジェクトに復元する処理（デシリアライズ）が安全に行われていません。名称から、Javaの遠隔呼び出し（RMI）を受け付ける部分とみられます。
攻撃の流れ
-
1
管理サーバーに到達
攻撃者がFoglight for Databasesの管理サーバーに通信できる位置を得ます。
-
2
細工したデータを送信
認証を通さず、サーバーが受け付ける経路に不正なデータを送ります。
-
3
復元処理でコード実行
サーバーがデータを復元する際に、攻撃者の指定したコードが動きます。
-
4
監視サーバーを掌握
サーバー上の情報の閲覧や、接続先データベースへの足がかりに使われるおそれがあります。
どう悪用されるか
悪用に認証は要りません。攻撃者はネットワーク経由で管理サーバーに通信できれば足り、管理者や利用者に操作をさせる必要も、条件には挙がっていません。
コードが実行されると、攻撃者は製品のサービスと同じ権限でサーバー上の操作を行えます。筆者は、監視製品が一般に監視対象への接続情報を持つ点が気がかりだと考えています。この製品でどこまで及ぶかは、構成によって変わるでしょう。
今すぐやること
-
1
ベンダーの告知を確認する
ZDI-26-851のアドバイザリとQuestのセキュリティ告知を開き、影響版、修正版、回避策の有無を確認します。
-
2
導入と版を洗い出す
Foglight for Databasesの導入先をすべて挙げ、管理コンソールで版を確認します。検証環境や、使われなくなった環境も含めます。
-
3
修正版に更新する
修正版が出ていれば、本番より先に検証環境で動作を確認したうえで、早めに更新します。
-
4
管理サーバーへの接続元を絞る
更新までの間も、インターネットに公開していないかを確かめ、監視担当者の端末や必要な機器だけが届くように制限します。
-
5
不審な動きがないか調べる
管理サーバーのOSログとアクセスログで、見覚えのない接続元や、サービスから起動された不審なプロセスがないかを確認します。
修正版がないあいだのつなぎ
修正版をすぐに当てられないときは、Foglight for Databasesの管理サーバーへの通信を、必要な接続元だけに限定してください。インターネットからの到達は遮断します。待ち受けているポートや通信の種類は、Questの告知で確認してから制限を決めると、監視機能を止めずに済みます。
背景
Foglight for Databasesは、Questが提供するデータベース監視製品です。複数のデータベースの性能や稼働状況を一か所で見るため、一般に監視対象への接続情報を持ち、運用担当者が日常的に使う管理サーバーが置かれます。業務システムの裏側にあって目立ちませんが、侵害されると、監視対象のデータベースへつながる足がかりになりかねません。
今回の問題があるbaseRmiServiceExporterは、名称からJavaのRMIを使う部分とみられます。Javaでは、外部から届いたデータをオブジェクトに戻す処理が安全でないと、遠隔からのコード実行につながることが以前から知られています。今回もその型に当たる脆弱性です。
よくある質問
Q.社内ネットワークからしか届かない構成でも、急ぐ必要はありますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Quest Foglight for Databases baseRmiServiceExporter Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Quest Foglight for Databases. Authentication is not required to exploit this vulnerability.
The specific flaw exists within the configuration of the baseRmiServiceExporter bean. The issue results from the lack of proper validation of user-supplied data prior to deserializing it. An attacker can leverage this vulnerability to execute code in the context of SYSTEM. Was ZDI-CAN-29170.
出典: Zero Day Initiative Published Advisories NVD GitHub Advisory