【解説】Airbyteに脆弱性｜悪用確認、2.2.0以降へ更新を

セルフホストのAirbyteで、2.2.0より前の版に、外からコードを実行される脆弱性が見つかりました。国内の公開情報では、悪用も確認されています。

10月17日 脆弱性を公開

10月17日、GitHubの公開情報で、この脆弱性が示されました。Connector Builderが、定義に書かれたPythonのクラスを制限なく読み込んでいたためです。ログインできる利用者なら、コマンドを実行できました。

11月4日 悪用を確認

11月4日に公開されたJVNは、悪用が確認されていると書いています。特に急ぐのは、古いHelmチャートで動かす1.x系です。ログインなしで悪用でき、1.x系向けの修正は出ません。

これから 2.4.0へ更新

これからの対応は、2.2.0以降への更新です。最新は2.4.0です。移行は元に戻せないので、先にデータベースのバックアップを取ります。古いイメージに固定していると修正が入らないため、更新後に版を確かめてください。

版の確かめ方や、更新までの緩和策は、記事で詳しく紹介しています。