CVE-2026-40901

概要

DataEaseは、オープンソースのデータ可視化・分析プラットフォームです。バージョン2.10.20以前には、レガシーなvelocity-1.7.jarが同梱されており、これがInvokerTransformer逆シリアライゼーションガジェットチェーンを含むcommons-collections-3.2.1.jarを引き込みます。また、アプリケーションに同梱されているQuartz 2.3.2は、逆シリアライゼーションフィルタやクラス許可リストなしにObjectInputStreamを使用して、qrtz_job_detailsテーブルからジョブデータBLOBを逆シリアライズします。previewSqlにおける前述のSQLインジェクションなどを通じてQuartzジョブテーブルに書き込める認証済み攻撃者は、スケジュールされたジョブのJOB_DATAを悪意のあるCommonsCollections6ガジェットチェーンペイロードに置き換えることができます。Quartzのcronトリガーが発火すると、ペイロードが逆シリアライズされ、コンテナ内でrootとして任意のコマンドを実行し、完全なリモートコード実行を達成します。この問題はバージョン2.10.21で修正されています。

• EXPLOIT-CVE-2026-40901エクスプロイト

  DataEase用自動エクスプロイト: 4つの脆弱性チェーン（認証バイパス、JDBCブロックリストバイパス、SQLインジェクション、Java逆シリアル化）により未認証のRCEを達成。DockerラボとPython PoCを含みます。