データ連携基盤「Airbyte」に緊急の脆弱性、深刻度はCVSS 9.9　資格の流出懸念

　JPCERT/CCとIPAが運営する脆弱性情報データベースJVNは11月4日、データ連携基盤「Airbyte」に任意のコードを実行できる脆弱性があるとして、「JVN#12040144」を公表した。深刻度は最も高い「緊急」で、JVNは「本脆弱性の悪用が確認されています」としている。

　問題があるのは、コネクターを開発するための機能「Connector Builder」と、その裏で動くManifest Server。JVNによると、不適切なクラスロードにより想定外のコンポーネントを読み込めてしまい、Connector BuilderまたはManifest Serverのコンテナ内で、Airbyteユーザーとして任意のコードが実行される可能性がある。JVNが影響を受けるとするのはAirbyte 1.7.0～2.1.0。JVNの評価はCVSS v4.0が8.7、v3.0が8.8だった。

　一方、開発元のAirbyteは10月17日付でアドバイザリー「GHSA-g35w-6r6v-h4r7」を公開している。同社は深刻度を「Critical」、CVSS v3.1のスコアを9.9と評価。対象は2.2.0より前のバージョンで、修正版は2.2.0（manifest-server 7.23.7）だという。

　アドバイザリーによると、2.x系ではワークスペースの閲覧権限（Workspace Reader）以上を持つ認証済みユーザーが、Manifest Serverのコンテナでコマンドを実行できた。1.x系の旧Helmチャートでは、Connector Builderが全体の認証設定（global.auth.enabled）を引き継がず、ネットワークから到達できれば認証なしでも悪用できたという。成功すると、コンテナが扱えるデータ、資格情報、シークレットが露出し、コンテナから届く内部サービスにもアクセスされる恐れがある。

　Airbyte 1.x系は修正されず、2.2.0以降への更新が必要になる。更新できない場合の回避策として、Connector BuilderとManifest ServerにAirbyteのサーバーだけが到達できるようネットワークを制限すること、Workspace ReaderとOrganization Readerの権限を信頼できるユーザーに限ることを挙げている。クラウド版のAirbyte Cloudの利用者に対応は不要という。

　報告者はZOZOの社員で、情報セキュリティ早期警戒パートナーシップを通じて開発元とIPAに報告された。JPCERT/CCが開発元との調整を担った。