KNIME Business Hub Hit by Critical Bugs, Including Hard-Coded Password and XSS Flaws
2025/04/01 SecurityOnline — 先日の KNIME のセキュリティ・アドバイザリは、KNIME Business Hub に影響を及ぼす、いくつかの脆弱性について詳述するものである。KNIME Business Hub とは、ハブ・リソースへのアクセスを提供し、カスタマイズとアクセスの管理を可能にする、顧客サイドで管理される KNIME Hub インスタンスである。このアドバイザリでは、これらの問題から生じる潜在的なリスクと、それを軽減するために必要なアップデートが示されている。
CVE-2025-3019
クロスサイト・スクリプティングの脆弱性
KNIME Business Hub は、Web ページ上においてクロスサイト・スクリプティング (XSS) の脆弱性の影響を受ける。このアドバイザリが警告するのは、悪意のリンクまたは Web ページを操作したユーザーの権限で、任意の JavaScript コードが実行される可能性である。それにより、情報の窃取やデータの改竄などにいたる恐れがある。
このアドバイザリによると、脆弱性 CVE-2025-3019 は、”nuxt-security” モジュールのバグに起因するとのことだ。ユーザーに対して強く推奨されるのは、KNIME Business Hub バージョン 1.13.3／1.12.4 以降への速やかなアップデートである。なお、回避策は存在しないとのことだ。
CVE-2025-2787
Ingress-nginx 脆弱性
KNIME Business Hub は、Ingress Nightmare とも呼ばれる Ingress-nginx の脆弱性 CVE-2025-1974 の影響も受けている。この、Ingress-nginx コンポーネントの脆弱性により、最悪のシナリオでは、Kubernetes クラスターが完全に乗っ取られる可能性が生じている。
このアドバイザリは、影響を受けるコンポーネントへのアクセスはクラスター内からだけに限定され、認証されたユーザー権限が必要だが、KNIME Business Hub コンテキスト内での深刻度は高いと指摘されている。この脆弱性の詳細については、KNIME Web サイトを参照してほしい。
CVE-2025-2402
Object Store のハードコード・パスワード
すべての KNIME Business Hub バージョンにおいて発見された、きわめて深刻な脆弱性は、Object Store (minio) のハードコードされた非ランダム・パスワードに起因するものだ。このパスワードを所有する、未認証のリモート攻撃者は、スワップされたジョブやアクティブなジョブの入出力データを読み取り、操作することが可能になる。
このアドバイザリは、大量のデータを Object Store にダイレクトに書き込む攻撃者は、大半のケースにおいて、KNIME Business Hub 機能に関するサービス拒否を引き起こす可能性があると警告している。他の脆弱性と同様に、すでに KNIME は、パッチ適用バージョン 1.13.2／1.12.3／1.11.3／1.10.3 をリリースし、この問題に対処している。ユーザーに強く推奨されるのは、速やかなアップデートとなる。
KNIME Business Hub に複数の脆弱性が発生していますが、最も深刻な脆弱性 CVE-2025-2402 は CVSS v4 8.8 と評価されています。ご利用のチームは、アップデートをお急ぎください。なお、文中の Ingress-nginx の脆弱性 (Ingress Nightmare) については、2025/03/25 に「IngressNightmare という４つの深刻な脆弱性：クラウド環境の 43％ に影響」という記事を投稿しています。よろしければ、そちらもご参照ください。
IoT OT Security News 
You must be logged in to post a comment.