判定
- 現在の判定
- Matched（該当）
- 攻撃条件
- 満たさない（AV・PR・UI がすべて N か）
- 攻撃能力
- 満たさない（RCE・認証回避・シェル取得・root 取得のいずれか）
- 根拠
- AV:N / PR:L / UI:N（CNA・CVSS 4.0） ／ 該当する攻撃能力なし
解説
- 概要
- LocalBucket 以外の経路でレコードデータにアクセスする際、型・レコード単位のアクセス制御チェックが行われない脆弱性です。
- 影響
- 認証済みユーザーが、読み取り・削除権限を拒否された型について、索引値やレコードID、時系列サンプルなどを参照し、索引エントリを削除できます。これにより索引とデータが不整合になり、一意制約を破られる可能性があります。
- 対象
- ArcadeDB の Maven artifact com.arcadedb:arcadedb-engine。26.9.1 未満が影響を受け、26.9.1 は影響を受けません。組み込み・サーバー構成の双方と、プリンシパルが設定された全トランスポートが対象です。
- 対策
- 26.9.1 に修正。
- 判定
- AV:N / PR:L / UI:N（CNA・CVSS 4.0） ／ 該当する攻撃能力なし
CVSS 評価
| 出所 | 版 | AV / PR / UI | ベクトル | 出所側の更新日時 |
|---|---|---|---|---|
| CNA（採用） | 4.0 | AV:N / PR:L / UI:N | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | 2026-09-18 22:20 |
| CNA | 3.1 | AV:N / PR:L / UI:N | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N | 2026-09-18 22:20 |
攻撃能力（AI 判定）
| RCE | 非該当 |
| 認証回避 | 非該当 |
| シェル取得 | 非該当 |
| root 取得 | 非該当 |
根拠
-
RCE ・ CNA の説明文
read the type's indexed key values and record IDs (e.g. SELECT key, rid FROM INDEX:Type[field]), read MAX/MIN values via the index shortcut, read and count TimeSeries samples, learn the type's record count, and delete index entries (DELETE FROM INDEX:Type[field])
-
認証回避 ・ CNA の説明文
so an authenticated user who is denied readRecord/deleteRecord on a type can still
-
シェル取得 ・ CNA の説明文
read the type's indexed key values and record IDs (e.g. SELECT key, rid FROM INDEX:Type[field]), read MAX/MIN values via the index shortcut, read and count TimeSeries samples, learn the type's record count, and delete index entries (DELETE FROM INDEX:Type[field])
-
root 取得 ・ CNA の説明文
read the type's indexed key values and record IDs (e.g. SELECT key, rid FROM INDEX:Type[field]), read MAX/MIN values via the index shortcut, read and count TimeSeries samples, learn the type's record count, and delete index entries (DELETE FROM INDEX:Type[field])
モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-13 05:56 ・ 入力 SHA-256 163d7ad996fa
一致した監視対象製品
-
PostgreSQL — 説明文で一致 （AI の判定: 影響を受けるか 非該当）
ArcadeDB (Maven artifact com.arcadedb:arcadedb-engine) through 26.8.1 enforces its per-type/per-record access-control rules only in LocalBucket, keyed on file id. Query-execution paths that reach record data through LSM index files or the TimeSeries engine never invoke that permission check, so an authenticated user who is denied readRecord/deleteRecord on a type can still, with a single ordinary SQL statement, read the type's indexed key values and record IDs (e.g. SELECT key, rid FROM INDEX:Type[field]), read MAX/MIN values via the index shortcut, read and count TimeSeries samples, learn the type's record count, and delete index entries (DELETE FROM INDEX:Type[field]), which desynchronizes the index from the data and can defeat unique constraints. Index and type names needed for exploitation are discoverable because SELECT FROM schema:indexes is unfiltered. The issue affects both embedded and server deployments and all transports (HTTP, Bolt, Postgres, Gremlin) once a principal is bound. Fixed in 26.9.1.
変更履歴
-
2026-09-18 23:32
- Matched（該当） と判定した
→ Matched（該当）