判定
- 現在の判定
- Emergency（緊急）
- 攻撃条件
- 満たす（AV・PR・UI がすべて N か）
- 攻撃能力
- 満たす（RCE・認証回避・シェル取得・root 取得のいずれか）
- 根拠
- AV:N / PR:N / UI:N（CNA・CVSS 4.0） ／ 認証回避
解説
- 概要
- Origin と Host の検証が DNS rebinding を防げず、攻撃者の Web サイトから DBHub の MCP ツールを呼び出せる脆弱性です。
- 影響
- 認証なしで MCP ツールを実行され、デモ構成では SQLite データベースの読み書き、実データベースでは権限や認証情報に応じた読み取り・列挙・書き込みを受ける可能性があります。
- 対象
- DBHub（bytebase）の 0.22.5 未満。HTTP transport mode で起動した場合に影響します。
- 対策
- バージョン 0.22.5 で修正されています。
- 判定
- AV:N / PR:N / UI:N（CNA・CVSS 4.0） ／ 認証回避
CVSS 評価
| 出所 | 版 | AV / PR / UI | ベクトル | 出所側の更新日時 |
|---|---|---|---|---|
| CNA（採用） | 4.0 | AV:N / PR:N / UI:N | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | 2026-09-25 02:30 |
攻撃能力（AI 判定）
| RCE | 不明 |
| 認証回避 | 該当 |
| シェル取得 | 不明 |
| root 取得 | 不明 |
根拠
-
認証回避 ・ CNA の説明文
Versions prior to 0.22.5 expose an unauthenticated HTTP MCP endpoint when started with the documented HTTP transport mode, for example `--transport http --port 8080`.
-
認証回避 ・ CNA の説明文
As a result, a malicious website can deterministically invoke DBHub MCP tools from the victim's browser without prompt injection or model involvement.
モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-13 05:54 ・ 入力 SHA-256 7359b25df828
一致した監視対象製品
-
PostgreSQL — 説明文で一致 （AI の判定: 影響を受けるか 非該当）
DBHub is a database MCP server for Postgres, MySQL, SQL Server, Oracle, MariaDB, SQLite. Versions prior to 0.22.5 expose an unauthenticated HTTP MCP endpoint when started with the documented HTTP transport mode, for example `--transport http --port 8080`. The HTTP server attempts to protect browser-origin access by checking whether the `Origin` hostname equals the `Host` hostname, then reflecting the validated `Origin` into `Access-Control-Allow-Origin`. This does not stop DNS rebinding. After an attacker-controlled hostname rebinds to a victim-accessible DBHub HTTP server, both `Origin` and `Host` can contain the attacker-controlled hostname, so DBHub accepts the request and dispatches MCP tool calls. As a result, a malicious website can deterministically invoke DBHub MCP tools from the victim's browser without prompt injection or model involvement. With the default demo configuration this can read and write the demo SQLite database; with a real configured database, the same primitive can read, enumerate, and potentially write database contents depending on DBHub's configured tool permissions and database credentials. Version 0.22.5 fixes the issue.
変更履歴
-
2026-09-25 02:42
- Emergency（緊急） と判定した
→ Emergency（緊急）