TREX-MESアプリケーションにおけるSQLi脆弱性（CVE-2026-18782）

概要

TREX MESは、製造現場からデータを収集・管理するために使用される商用の製造実行システム（MES）/ Industry 4.0プラットフォームです。アプリケーションのWeb APIは、クライアントから送信されたsqlパラメータをバックエンドのMicrosoft SQL Server上で直接実行し、結果セットをJSONとして返します。

影響

低権限の認証済みユーザー — または以下に説明する認証回避によってセッショントークンを取得した任意の攻撃者 — は、次のことが可能です：

SQL Serverインスタンス上のすべてのデータベースのデータを読み取り、変更、または削除できます。これはアプリケーション自身のデータベースに限定されず、製造、財務、人事データベースにも及びます。
保存されているユーザー資格情報を取得できます。パスワードはハッシュ化されておらず、文字ベースの容易に逆変換可能なシフトによって保存されているため、すべてのアカウントパスワードを平文で復元することが可能です。
xp_cmdshellを通じて、SQL Serverサービスアカウントのコンテキストで任意のOSコマンドを実行できます。テストされた環境では、このアカウントはSeImpersonatePrivilege特権を有しており、これによりNT AUTHORITY\SYSTEM権限への昇格とサーバーの完全な掌握が可能となり、内部ネットワークへの横展開の足がかりを形成します。

影響を受けるシステムが製造実行プラットフォームであるため、製造および品質記録が気付かれずに改ざんされ得ることは、通常のIT影響を超えた運用および事業継続性のリスクを伴います。

深刻度

クリティカル — CVSS 3.1 基本スコア 9.9（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）

影響を受けるバージョン

trex MES v.6.07.17.00090 以前

TrexDCAS MES v.6.05.14.00074 以前

影響を受けるコンポーネント

/api/GetDataJSON3 および /api/GetDataJSONCrypto3 — Webサービス層におけるクライアント由来のsqlパラメータ処理ロジック

緩和策

ベンダーの修正がリリースされるまで、運用者は以下を実施することが推奨されます：

両方のエンドポイントをリバースプロキシまたはWAF層でブロックしてください。この脆弱性はアーキテクチャに起因するものであり、入力フィルタリングでは解消できません。
xp_cmdshell機能を無効化し（sp_configure 'xp_cmdshell', 0）、OLE Automation ProceduresやCLR統合など、コマンド実行に適した他のコンポーネントを見直してください。
アプリケーションのデータベースアカウントからsysadminロールを削除し、必要なオブジェクトレベルの最小権限のみを付与してください。
すべてのアプリケーションユーザーのパスワードをリセットしてください。保存された資格情報は復元可能と見なす必要があります。
アプリケーションおよびデータベースのポートへのネットワークアクセスを、必要なシステムのみに制限してください。

恒久的な解決策として、ベンダーはクエリ構築をパラメータ化されたステートメントを用いてサーバー側に移行し、認証をサーバー上で実行し、パスワードをソルト付きの計算コストの高いハッシュアルゴリズムで保存する必要があります。

CVE ID

CVE-2026-18782

発見者

Hasan Hüseyin UYAR – Netlore Security

開示タイムライン

日付	出来事
2026-07-30	脆弱性が許可されたペネトレーションテスト中に検出され、確認された
2026-08-04	CVE-2026-18782 が割り当てられた。
2026-09-30	https://www.cve.org/CVERecord?id=CVE-2026-18782 のIDで公開された。

人気

CVE-2026-18782-TREX-MES-Uygulamalarinda-SQL-Zafiyeti

TREX-MESアプリケーションにおけるSQLi脆弱性（CVE-2026-18782）

概要

影響

関連する脆弱性

深刻度

影響を受けるバージョン

影響を受けるコンポーネント

緩和策

CVE ID

発見者

開示タイムライン