Adminer Adminer のSSRFの脆弱性（CVE-2021-21311）

何が起きた

PHP のファイル1つで動くデータベース管理ツール Adminer に、サーバーに意図しない通信をさせられる弱点（SSRF）が見つかりました。悪用されると、離れた場所の攻撃者が重要な情報を手に入れる可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作なしで悪用できるとされています。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adminer の 4.0.0 以降で 4.7.9 より前のバージョンを使っている人や組織が対象です。すべてのドライバーをまとめた版（例: adminer.php）が影響を受けます。

何をすればいい

修正版の 4.7.9 以降に更新されているか確認してください。開発者の案内では、すぐに更新できない場合の回避策として、1つのドライバーだけの版（例: adminer-mysql.php）を使うことや、HTTP のパスワード、IP アドレスの制限などで Adminer への接続を守ることが挙げられています。あわせて公式の案内を確認してください。

やることチェックリスト

• Adminer を 4.7.9 以降に更新する
• すぐ更新できなければ1つのドライバーだけの版を使う
• パスワードや IP アドレスの制限で接続を守る

用語メモ

SSRF

サーバー側リクエストフォージェリの略です。攻撃者がサーバーをだまして、本来は届かない場所へ通信させる攻撃です。

ドライバー

ツールが特定の種類のデータベースとやり取りするための部品です。

IP アドレス

ネットワーク上の機器を見分けるための番号です。