Apache CouchDB の脆弱性（CVE-2022-24706）

何が起きた

データベースソフトの Apache CouchDB で、初期設定のままの安全でない状態だと、ログインなしで管理者の権限を奪われる弱点が見つかりました。Apache の案内によると、CouchDB は複数のサーバーが連携するための通信口（分散ポート）を開き、さらに通信の認証に使う cookie（合言葉）が決まった初期値になっていました。NVD の評価では、ネットワーク経由で、ログインなしで悪用できます。実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、3.2.2 より前の Apache CouchDB が対象です。Apache の案内では、分散用のポートを外から接続できないようにしている環境は影響を受けないとされています。

何をすればいい

Apache CouchDB 3.2.2 以降に更新されているか確認してください。Apache の案内では、3.2.2 以降は以前の初期値の cookie では起動しないため、別の値を選ぶ必要があります。また、すべての CouchDB の前にファイアウォールを置き、1台で使う場合は 5984 番ポートだけを公開するよう勧めています。あわせて公式の案内を確認してください。

やることチェックリスト

• CouchDB を 3.2.2 以降に更新する
• CouchDB の前にファイアウォールを置く
• 外部に公開するのは 5984 番ポートだけにする

用語メモ

cookie

ここでは、CouchDB のサーバーどうしが互いを確かめるために使う合言葉のことです。

ポート

ネットワークでサーバーと通信するときの、番号のついた出入り口のことです。

ファイアウォール

決めたルールに従って、通してよい通信と止める通信を分ける仕組みです。