【要点】
◎Firebird SQLに、任意の場所のライブラリを読み込ませてコード実行につながる深刻な脆弱性が見つかり、修正版への更新が必要とされている (Security NEXT)
【脆弱性内容】 (★: 本ブログ内の詳細記事リンク)
| ★ |
公開日 |
登録日 |
CVE番号 |
NVD |
ベンダー |
CVSS v4 |
CVSS v3 |
CWE |
脆弱性 |
KEV |
備考 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| 2026/04/17 | 2026/04/10 | CVE-2026-40342 | NVD | FirebirdSQL | - | 9.9(GitHub) |
CWE-22 CWE-73 CWE-94 CWE-427 |
パス・トラバーサル ファイル名やパス名の外部制御 コード・インジェクション 制御されていない検索パスの要素 |
- | Firebird |
【要約】
Firebird SQLでは、外部ルーチン作成時のSQL処理に不備があり、プラグイン読み込み時にパストラバーサルを悪用して任意の場所からライブラリを読み込ませ、サーバ上でコードを実行できる脆弱性CVE-2026-40342が判明した。悪用には「CREATE FUNCTION」を実行できる権限が必要だが、アプリケーション用ロールにその権限が与えられている環境ではリスクが高い。開発者はFirebird 5.0.4、4.0.7、3.0.14で修正しており、権限設定の見直しも推奨している。
【ニュース】
◆「Firebird SQL」に深刻な脆弱性 - 修正版が公開 (Security NEXT, 2026/04/23)
https://www.security-next.com/183752
