判定
- 現在の判定
- Emergency（緊急）
- 攻撃条件
- 満たす（AV・PR・UI がすべて N か）
- 攻撃能力
- 満たす（RCE・認証回避・シェル取得・root 取得のいずれか）
- 根拠
- AV:N / PR:N / UI:N（CNA・CVSS 3.1） ／ RCE / 認証回避
解説
- 概要
- readonly 設定が接続の読み取り専用化に反映されず、SELECT 文の先頭キーワードだけを調べる判定をすり抜けられる脆弱性です。
- 影響
- 通常の DB ロールではシーケンスの改ざんが可能です。特権ロールではサーバー上の任意ファイルへの書き込み・ホストファイルの読み取りや、リモートコード実行が可能です。HTTP 接続は認証なしでネットワークから到達できます。
- 対象
- DBHub（bytebase）の 0.22.6 未満。
- 対策
- バージョン 0.22.6 で修正されています。
- 判定
- AV:N / PR:N / UI:N（CNA・CVSS 3.1） ／ RCE / 認証回避
CVSS 評価
| 出所 | 版 | AV / PR / UI | ベクトル | 出所側の更新日時 |
|---|---|---|---|---|
| CNA（採用） | 3.1 | AV:N / PR:N / UI:N | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N | 2026-09-25 02:37 |
攻撃能力（AI 判定）
| RCE | 該当 |
| 認証回避 | 該当 |
| シェル取得 | 不明 |
| root 取得 | 不明 |
根拠
-
RCE ・ CNA の説明文
With an ordinary role this allows sequence tampering; with a privileged role it allows writing arbitrary files on the server (`lo_export`), reading arbitrary host files (`pg_read_file`), and remote code execution (`dblink` + `COPY ... TO PROGRAM`).
-
認証回避 ・ CNA の説明文
The HTTP transport is unauthenticated and binds to `0.0.0.0` by default, so this is reachable by any network caller of `/mcp`.
モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-13 05:55 ・ 入力 SHA-256 076cf12cb69c
一致した監視対象製品
-
PostgreSQL — 説明文で一致 （AI の判定: 影響を受けるか 非該当）
DBHub is a database MCP server for Postgres, MySQL, SQL Server, Oracle, MariaDB, SQLite. Prior to version 0.22.6, setting `readonly = true` on the `execute_sql` tool does not make the connection read-only. The connectors are written to set PostgreSQL `default_transaction_read_only=on` (and open SQLite in `readOnly` mode), but that code is gated on a config value that is never populated, so it never runs. The only thing left enforcing read-only is a classifier that inspects the first keyword of each statement. Any `SELECT` that writes or has side effects through a function call passes it. With an ordinary role this allows sequence tampering; with a privileged role it allows writing arbitrary files on the server (`lo_export`), reading arbitrary host files (`pg_read_file`), and remote code execution (`dblink` + `COPY ... TO PROGRAM`). The HTTP transport is unauthenticated and binds to `0.0.0.0` by default, so this is reachable by any network caller of `/mcp`. Version 0.22.6 patches the issue.
変更履歴
-
2026-09-29 12:00
- Emergency（緊急） と判定した
→ Emergency（緊急）