Apache DolphinScheduler の脆弱性 CVE-2024-43202 が FIX：RCE の可能性

CVE-2024-43202: RCE Vulnerability Discovered in Apache DolphinScheduler

2024/08/20 SecurityOnline — Apache DolphinScheduler プロジェクトが発表したのは、リモートコード実行 (RCE) の脆弱性について、ユーザーに警告するための重要なセキュリティ・アドバイザである。データ・オーケストレーションに対する合理的なアプローチで有名な DolphinScheduler に存在する、脆弱性 CVE-2024-43202 の悪用に成功した攻撃者は、標的とするシステム上で任意のコード実行を達成し、このプラットフォームのユーザーに重大なリスクをもたらす可能性を得る。

この脆弱性 CVE-2024-43202 は、Apache DolphinScheduler のバージョン 3.0.0〜3.2.2 に深刻な影響を及ぼすものであり、セキュリティ研究者 an4er により発見されている。この脆弱性の悪用に成功した攻撃者は、リモートから任意のコード実行を可能にし、DolphinScheduler により管理されるデータ・パイプラインを不正に制御し、データの窃取の可能性を手にする。

Apache DolphinScheduler は、複雑なタスクの依存関係を管理し、各種業界のデータ・ワークフローをオーケストレーションする重要な役割を担っているため、この脆弱性の潜在的な影響は相当なものと推測される。データ運用の自動化と管理のためにDolphinScheduler に依存している組織において、この脆弱性が悪用された場合いには、運用に大きな支障をきたす危険性がある。

すでに Apache DolphinScheduler チームはバージョン 3.2.2 をリリースし、この問題に迅速に対応している。脆弱性のあるバージョンを使用している、すべてのユーザーに強く推奨されるのは、速やかなアップグレードの実施である。

Apache DolphinScheduler の脆弱性ですが、このブログ内を検索する限りでは、2024/02/20 の「Apache DolphinScheduler の RCE 脆弱性 CVE-2023-49109 が FIX：直ちにアップデートを！」以来となります。その前は、2023/12/31 の「Apache DolphinScheduler の脆弱性 CVE-2023-49299 が FIX：ただちにパッチを！」です。とても重要な役割を担うソフトウェアです。ご利用のチームは、十分に ご注意ください。