セキュリティ

SECURITY

公開：2025-03-04

【CVE-2025-26520】Cacti 1.2.29にSQLインジェクションの脆弱性、過去の修正の不備で新たな問題が発生

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Cacti 1.2.29にSQLインジェクションの脆弱性が発見
• CVE-2024-54146の修正が不完全で新たな脆弱性が判明
• CVSS評価でハイリスクの7.6を記録

Cacti 1.2.29のSQLインジェクション脆弱性

MITREは2025年2月12日、ネットワーク監視ツールCactiのバージョン1.2.29以前に深刻な脆弱性が存在することを公開した。この脆弱性はhost_templates.phpのテンプレート機能においてgraph_templateパラメータを介したSQLインジェクションを許可するものであり、以前に修正されたはずのCVE-2024-54146の不完全な対応によって発生している。^[1]

NVDによる評価では、この脆弱性のCVSSスコアは7.6でハイリスクに分類されており、攻撃の複雑さは低く設定されている。脆弱性の種類はCWE-89に分類され、SQLコマンドで使用される特殊要素の不適切な無害化によって引き起こされるSQLインジェクションの問題として特定されている。

この脆弱性に対する修正はすでにGitHubのプルリクエスト#6096として提出されており、コミットID 7fa60c03ad4a69c701ac6b77c85a8927df7acd51で確認することができる。CISAもこの脆弱性情報を認識しており、SSVCフレームワークによる評価では技術的な影響は部分的であると判断されている。

Cacti 1.2.29の脆弱性詳細

SQLインジェクションについて

SQLインジェクションとは、Webアプリケーションのセキュリティ上の脆弱性を悪用し、データベースに不正なSQLコマンドを挿入・実行する攻撃手法のことを指す。主な特徴として、以下のような点が挙げられる。

• 入力値の検証が不十分な場合に発生する深刻な脆弱性
• データベースの改ざんや情報漏洩につながる危険性が高い
• 適切なパラメータのサニタイズによって防止が可能

今回のCacti 1.2.29の脆弱性は、host_templates.phpのテンプレート機能におけるgraph_templateパラメータの処理が不適切であることに起因している。この問題は以前のCVE-2024-54146で対応されたはずの脆弱性が完全には修正されていなかったことで発生しており、早急な対応が必要とされている。

Cacti 1.2.29の脆弱性に関する考察

Cactiの脆弱性対応における最も重要な課題は、過去の脆弱性修正が不完全だったという点である。セキュリティパッチの開発においては、単に問題箇所を修正するだけでなく、類似した脆弱性が他の箇所に存在しないかを包括的に確認する必要がある。今回の事例は、セキュリティ修正における徹底的なコードレビューの重要性を示している。

今後の課題として、セキュリティテストの強化と自動化された脆弱性スキャンの導入が挙げられる。特にSQLインジェクションのような基本的な脆弱性は、静的解析ツールの活用によって事前に検出できる可能性が高い。開発プロセスにセキュリティテストを組み込むことで、同様の問題の再発を防ぐことができるだろう。

Cactiのような重要なネットワーク監視ツールにおいては、セキュリティ対策の強化が不可欠である。コミュニティベースの開発においても、セキュリティレビューのプロセスを確立し、脆弱性の早期発見と適切な対応が可能な体制を整えることが望まれる。継続的なセキュリティ教育と開発者向けのガイドラインの整備も重要な課題となるだろう。

参考サイト

1. ^ CVE. 「CVE: Common Vulnerabilities and Exposures」. https://www.cve.org/CVERecord?id=CVE-2025-26520, (参照 25-03-04).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧