Appsmith の脆弱性 CVE-2024-55963 などが FIX：PostgreSQL ミスコンフィグと RCE PoC

CVE-2024-55963: Appsmith’s Default PostgreSQL Misconfiguration Leads to RCE, PoC Releases

2025/03/27 SecurityOnline — 先日に Rhino Security Labs が公表したのは、Appsmith 製品のデフォルト・インストールに影響を及ぼす、一連の重大な脆弱性に関する詳細な情報である。これらの脆弱性のうちで、最も深刻なものは CVE-2024-55963 であり、デフォルトで取り込まれている PostgreSQL データベースのミスコンフィグにより、未認証の攻撃者に対してリモート・コード実行を許すものである。

Appsmith は OSS の開発ツールであり、ダッシュボード／管理パネル／顧客サポートなどの、社内アプリケーション構築の支援のために設計されている。たとえば、UI 要素の開発により、データベースや LLM などの各種のデータ・ソースを接続できる。

Appsmith のレポートを参照すると、Appsmith が各種のデータ・ソースに接続し、アプリケーションを作成する機能を提供していることが分かる。これらの実践的なデータ・ソースの１つは、Appsmith サーバ内でローカルに実行される PostgreSQL データベースである。脆弱性 CVE-2024-55963 は、PostgreSQL 認証コンフィグ・ファイル “pg_hba.conf” に関連するものであり、パスワード入力を必要としないローカル・ユーザーが、任意の PostgreSQL ユーザーとして接続するエントリにある。

レポートには、「このコンフィグでは、信頼認証方式が明示的に認証をバイパスするため、ローカル・ユーザーはパスワードを入力せずに、任意の PostgreSQL ユーザー／スーパー・ユーザーとして接続できる」と記載されている。

このミスコンフィグと、ユーザー・サインアップを許可する Appsmith のデフォルト・コンフィグを組み合わせて悪用する攻撃者は、アプリケーションを作成し、ミスコンフィグされたデータベースへの接続を手にする。そこから、システム・コマンド実行を可能にする、SQL クエリの実行へとつながっていく。

上記の、未認証の RCE に加えて、Rhino Security Labs は２つの別の脆弱性も特定している。

• CVE-2024-55964：App Viewer ユーザーに、データベース SQL へのアクセス許す可能性のある、安全が確保されない IDOR (Insecure Direct Object Reference) の脆弱性。
• CVE-2024-55965：App Viewer からの、Restart API リクエストへのアクセスを許してしまう、アクセス制御の破損によるサービス拒否の脆弱性。

Rhino Security Labs から提供されるものとしては、技術的な分析／PoC エクスプロイト／検出手法などの、各問題に対する詳細な情報がある。

すでに Appsmith は、最近版をリリースし、これらの脆弱性に対処している。セルフホスト型 Appsmith インスタンスを実行しているユーザーは、v1.52 以降へと速やかにアップグレード、これら３つの脆弱性に対する保護を確保する必要がある。

ここのところ、毎日のようにOSS の脆弱性情報を目にします。便利なツールであっても、設定を少し誤るだけで、攻撃の侵入口になりかねません。今回の Appsmith の脆弱性は、PoC エクスプロイトが提供されていることで、悪用の可能性も高まります。ご利用のチームは、お気をつけください。よろしければ、カテゴリ _OpenSource も、ご利用ください。