CVE-2026-40899

概要

DataEaseは、オープンソースのデータ可視化・分析プラットフォームです。バージョン2.10.20以下には、MySQLデータソース設定におけるJDBCパラメータのブロックリスト回避の脆弱性が存在します。MysqlクラスはLombokの@Dataアノテーションを使用しており、JDBCセキュリティブロックリストを含むillegalParametersフィールドに対して、パブリックなセッターを自動生成します。データソース設定がJSONとして送信されると、Jacksonのデシリアライゼーションが、攻撃者が指定した空のリストでsetIllegalParametersを呼び出し、getJdbc()の検証が実行される前にブロックリストを置き換えます。これにより、認証済みの攻撃者がallowLoadLocalInfile=trueなどの危険なJDBCパラメータを含めることができ、データソースを不正なMySQLサーバーに向けることで、LOAD DATA LOCAL INFILEプロトコル機能を悪用し、DataEaseサーバーのファイルシステムから機密性の高い環境変数やデータベース認証情報を含む任意のファイルを読み取ることが可能になります。この問題はバージョン2.10.21で修正されています。

• EXPLOIT-CVE-2026-40901エクスプロイト

  DataEase用自動エクスプロイト: 4つの脆弱性チェーン（認証バイパス、JDBCブロックリストバイパス、SQLインジェクション、Java逆シリアル化）により未認証のRCEを達成。DockerラボとPython PoCを含みます。