ああ、ソクラテス。DBHubのMySQLおよびMariaDBコネクタでは、コメントの解析が不完全です。たとえば「–」というコメント記法の後ろに空白がない場合、本来は無視すべきはずの文字列が、SQLの実行に影響を与える可能性があります。結果として、管理者が「読み取り専用」に設定したはずの環境で、破壊的なDDL文が実行される恐れがあります。

まず、DBHubが使用されているか確認する必要があります。使用している場合、バージョンが0.22.6以前かをチェックしましょう。また、SQL入力処理のコードや、コメントの解析がどのように実装されているかを確認するのも重要です。もし「–」の後ろに空白がない処理が存在する場合、リスクが高まります。

0.22.6以降へのアップグレードが推奨されます。また、SQL入力に「–」が含まれる場合、後続の文字が空白でないかを検証する処理を追加することも考えられます。ただし、既存のアプリケーションに影響を与えないよう、テスト環境での確認が必須です。

SQL文が「–」でコメント化されているが、その直後に空白がない場合です。たとえば「SELECT * FROM table –DELETE FROM table」のような文が、無効なコメントではなく、実際のDDL文として解釈される可能性があります。

DBHubの使用有無とバージョンの確認、SQL入力処理のコードレビュー、テスト環境での再現試験、パッチ適用後の変更管理が鍵です。また、ベンダーの公式情報を確認し、パッチ適用後の監視体制を整えることも忘れずに。

MySQLおよびMariaDBの接続経路に限定されます。PostgreSQLは影響を受けません。ただし、DBHubの使用が前提なので、それを使っている環境だけが対象です。

ユーモアを交えて言えば、「–」はコメントではなく、SQLのトリックかもしれません。しかし、この脆弱性を軽視せず、バージョン確認とパッチ適用を優先してください。変更管理と監視は、安心のための「哲学的義務」です。