【CVE-2024-7474】lunary-ai/lunary 1.3.2にIDOR脆弱性が発見、外部ユーザーデータへの不正アクセスが可能な状態に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
lunary-ai/lunary 1.3.2のIDOR脆弱性
lunary-ai/lunary 1.3.2の脆弱性詳細
IDORについて
lunary-ai/lunaryの脆弱性に関する考察
参考サイト

記事の要約

lunary-ai/lunaryにIDORの脆弱性が発見
外部ユーザーデータへの不正アクセスが可能に
バージョン1.3.4で修正済みのセキュリティ問題

lunary-ai/lunary 1.3.2のIDOR脆弱性

2024年10月29日、Protect AIはlunary-ai/lunaryバージョン1.3.2に存在するInsecure Direct Object Reference（IDOR）の脆弱性を公開した。この脆弱性は【CVE-2024-7474】として識別されており、リクエストURLのidパラメータを操作することで外部ユーザーの情報を閲覧または削除できる深刻な問題となっている。^[1]

NVDのCVSS評価では、この脆弱性は基本スコア9.1のクリティカルと評価されており、攻撃に特別な権限や技術が不要な点が特に危険視されている。攻撃者はネットワーク経由で容易に攻撃を実行できる可能性があり、機密性と完全性への重大な影響が懸念される事態となっている。

lunary-ai/lunaryの開発チームは既にバージョン1.3.4でこの脆弱性を修正しており、ユーザーに対して速やかなアップデートを推奨している。脆弱性の修正コミットは既にGitHubで公開されており、idパラメータに対する適切なアクセス制御が実装されたことが確認できる。

lunary-ai/lunary 1.3.2の脆弱性詳細

項目	詳細
CVE番号	CVE-2024-7474
影響を受けるバージョン	1.3.2以前
脆弱性の種類	Insecure Direct Object Reference (IDOR)
CVSSスコア	9.1（Critical）
攻撃の前提条件	特別な権限や技術は不要
対策バージョン	1.3.4以降

IDORについて

IDORとはInsecure Direct Object Referenceの略で、Webアプリケーションにおける深刻なセキュリティ脆弱性の一つとして知られている。主な特徴として以下のような点が挙げられる。

URLやパラメータの直接操作による不正アクセス
アクセス制御の不備による情報漏洩のリスク
認証・認可の実装不足が原因となる脆弱性

lunary-ai/lunaryの事例では、APIリクエストのidパラメータに対する適切なアクセス制御が実装されていなかったため、認証されていない攻撃者が外部ユーザーの情報を閲覧・削除できる状態にあった。この種の脆弱性は適切な認可チェックを実装することで防ぐことが可能であり、バージョン1.3.4では認可の仕組みが強化されている。

lunary-ai/lunaryの脆弱性に関する考察

lunary-ai/lunaryにおけるIDOR脆弱性の発見は、Webアプリケーションのセキュリティ設計における基本的な要件の重要性を改めて浮き彫りにした事例となっている。特にユーザーデータを扱うアプリケーションにおいて、適切なアクセス制御の実装は最優先事項であり、開発初期段階からのセキュリティレビューの重要性が再認識される結果となった。

今後は同様の脆弱性を防ぐため、開発チームによるセキュリティテストの強化やコードレビューの徹底が求められるだろう。特にAPIエンドポイントの実装において、認証だけでなく適切な認可の仕組みを組み込むことが重要となってくる。セキュリティ専門家との連携や、自動化されたセキュリティテストの導入も検討に値する。

また、オープンソースプロジェクトとしての透明性の高さは評価できる点であり、脆弱性の発見から修正までのプロセスが公開されていることは、他のプロジェクトにとっても良い参考事例となるだろう。今後はセキュリティガイドラインの整備や、コントリビューター向けのセキュリティベストプラクティスの提供も期待したい。