概要
CVE-2026-28516は、オープンソースのデータセンターインフラ管理ツールであるopenDCIMの特定のバージョンに存在するSQLインジェクションの脆弱性です。この脆弱性は、Config::UpdateParameter関数において、ユーザーからの入力が適切にサニタイズされずにSQL文に直接組み込まれることによって発生します。結果として、認証済みの攻撃者が任意のSQL文を実行できる可能性があります。
本脆弱性の深刻度は「CRITICAL」（CVSSスコア9.3）と評価されています。
影響範囲
本脆弱性の影響を受けるのは、openDCIMバージョン23.04（コミットID 4467e9c4まで）と報告されています。
想定される影響
認証済みの攻撃者によって本脆弱性が悪用された場合、以下のような深刻な影響が想定されます。
- データベース内の機密情報（設定情報、ユーザー情報など）の漏洩
- データベース内のデータの改ざんまたは削除
- データベースサーバーへの不正アクセス、またはシステム停止
- 最悪の場合、基盤となるサーバーへの不正アクセスにつながる可能性
攻撃成立条件・悪用状況
本脆弱性の悪用には、openDCIMに対する認証済みのアクセス権が必要です。つまり、攻撃者は事前に有効なユーザーアカウントを持っている必要があります。
現時点では、本脆弱性の具体的な悪用状況については不明です。
推奨対策
今すぐできる対策（優先度：高）
- ベンダーからのパッチ適用またはバージョンアップ: openDCIMの最新バージョンへのアップデート、またはベンダーから提供されるセキュリティパッチの適用を最優先で実施してください。コミットID 4467e9c4以降で修正されている可能性があります。
中長期的な対策
- 入力値検証の徹底: アプリケーション開発においては、ユーザーからの入力値をデータベースに渡す前に、常に厳格な検証とサニタイズを行うことを徹底してください。プリペアドステートメントの使用を推奨します。
- WAF（Web Application Firewall）の導入: SQLインジェクション攻撃パターンを検知し、ブロックできるWAFの導入を検討してください。
- 最小権限の原則: データベースユーザーには、必要最小限の権限のみを付与し、アプリケーションが使用するデータベースアカウントの権限を制限してください。
一時的な緩和策
- WAFによる保護: WAFを導入している場合、SQLインジェクション攻撃パターンに対するシグネチャが最新であることを確認し、有効化してください。
- データベースへのアクセス制限: openDCIMが稼働するサーバーからのみデータベースへのアクセスを許可するなど、ネットワークレベルでのアクセス制限を強化してください。
- ログ監視の強化: データベースへの異常なクエリや、openDCIMの認証ログに不審なアクティビティがないか、監視を強化してください。
確認方法
ご自身の環境でopenDCIMが稼働している場合、以下の方法で影響を受けるバージョンであるかを確認できます。
- openDCIMのバージョン確認: 導入しているopenDCIMのバージョンが23.04であるかを確認してください。
- コミットIDの確認: ソースコードのコミット履歴を確認し、脆弱性が修正されたコミット（4467e9c4以降）が適用されているかを確認してください。