それはですね、もし誰かが意図的に「/datasources/unauth-datasource」にアクセスできれば、本来は触れてはいけないデータソース情報を手に入れられる可能性があるんです。でも、現実にはそのエンドポイントが使われているかどうかをまず確認する必要がありますよね？

そうではなく、運用上の「確認の不完全」だと考えます。つまり、まず「このエンドポイントが使われているか」を確認し、「3.4.3未満のバージョンか」をチェックするという、現実的なステップが先決です。

その通りです。アップグレードが推奨されていますが、変更管理の手順を守らなければ、他のサービスに影響が出るかもしれません。テスト環境で先に確認し、影響範囲を限定して対応するのが良策です。

攻撃者がこのエンドポイントを悪用する可能性は低いですが、監視ログに「不正なアクセス」が記録されているかをチェックするのも重要です。また、ベンダーの公式情報でアップグレード手順を確認し、パッチ適用時に「何が変更されたか」を文書化しておくべきですね。

それは「認証なしでもデータソースが見える」ってことで、まるで「秘密のドア」が開いているようなものです。でも、そのドアが本当に使われているか、まずは確認しましょう。

「確認→対応→監視」のサイクルを、慎重に、そして少しユーモアを忘れずに実行することです。