本文へ移動

脆弱性悪用確認・修正版あり続報

Airbyteの脆弱性、悪用を確認　自社運用版は更新を

自社運用のAirbyteで、接続テスト用の設定を通じてコンテナ内でコマンドを実行される欠陥が判明。旧構成にはログインを必要としない場合もあります。

対象となる人

自社でAirbyteを運用し、旧版のConnector BuilderやManifest Serverを利用する担当者。Airbyte Cloud利用者の対応は不要です。1

今すべきこと

公式の案内

2.2.0以降に更新してください。すぐに更新できない場合は該当サービスへの接続元を制限し、閲覧権限を持つ利用者を見直してください。1

初回公表: 2026.10.17
参照情報の更新: 2026.11.04
当サイトの確認: 2026.11.04

#Airbyte #データ連携 #脆弱性 #サーバー管理

押さえたい、3つのポイント

JVNが悪用を確認
JVNは11月4日、1.7.0〜2.1.0の脆弱性について悪用が確認されていると公表しました。対象コンテナがアクセスできるデータや認証情報に影響する可能性があります。2 1
攻撃に必要な条件は構成で違う
2系の旧版では、ワークスペースまたは組織の閲覧権限以上を持つ利用者が悪用できます。旧Helmチャートで導入した1系では、該当サービスに接続できればログインも不要です。1
修正版は2.2.0
1系向けの修正は提供されません。自社運用版の管理者は2.2.0以降に更新してください。Airbyte Cloud利用者に対応は不要です。1

公式ソースを確認する

1Airbyte開発元の勧告（10月17日） ↗github.com
2JVNの注意喚起（11月4日） ↗jvn.jp

𝕏 でシェア

もう少し詳しく

どこで実行される？: 接続設定に含まれる部品の読み込みに制限がなく、Connector BuilderまたはManifest Serverの内部で本来意図しない処理を実行できました。危険なコードを許可する設定が無効でも影響します。1
すぐに更新できない場合: 開発元は該当サービスに接続できる相手をAirbyteサーバーだけに限定し、ワークスペースや組織の閲覧権限を信頼できる利用者に絞るよう案内しています。1

開発元の勧告は10月17日。11月4日はJVNが悪用確認を含む注意喚起を公表した日です。