CVE-2026-100406 dbt docs serveの認証不要エンドポイント脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
dbtのdocs serve機能において、認証不要なPOSTエンドポイントが存在し、クライアントがSQLを送信してファイルシステムにアクセスできる可能性があります。デフォルトではlocalhostにバインドされますが、ホスト設定や環境変数でネットワークに公開されている場合、外部からの攻撃が想定されます。運用上は、DBT_DOCS_HOSTの設定やホストオプションによるネットワーク接続の有無を確認し、不要な外部アクセスを制限する必要があります。また、影響を受けるバージョン（2.0.0-alpha.0～2.0.0-alpha.4）に該当するかを確認し、修正パッチの適用を検討してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について語ってみよ。もしdbtのドキュメントサーバーがネットワークに公開されており、かつ認証が不要なエンドポイントが存在するなら、運用者はどのような責任を負うべきだろう？
ああ、それはまず「DBT_DOCS_HOST」やホストオプションの設定を確認するべきだ。デフォルトではlocalhostにバインドされるが、誤って外部ネットワークに公開されている可能性がある。また、影響を受けるバージョンが「2.0.0-alpha.0～2.0.0-alpha.4」であるかを確認し、修正パッチの適用を検討する必要がある。
だが、パッチ適用は容易か？変更管理のプロセスにこの脆弱性の対応が含まれているか、確認すべきではないか？
その通りだ。パッチ適用だけでなく、変更管理の文書にこの設定変更を記録し、監視ツールで「bind」の設定が変更されていないかを定期的にチェックするべきだろう。また、ベンダーの公式情報で修正後の動作を確認する必要がある。
ユーモアを交えて言おう。この脆弱性は「localhostにバインドされるデフォルト設定が、運用者の怠慢により『オープンハート』になる危険性」を示しているのだろう？
まさにその通り。でも、笑いながらも、影響調査とパッチ適用を怠ってはならない。ネットワークの境界で「ファイルシステムアクセス」が許可されているかを、手を動かして確認しろ。それが、運用者としての義務だ。
関連キーワード: bind