Adminer のSSRFでクラウド内部へ到達（悪用確認済み）

High（CVSS 7.2）に分類されるAdminer Adminerの脆弱性です。Adminer は PHP ファイル 1 個で動くデータベース管理ツールで、バージョン 4.0.0 以上 4.7.9 未満にサーバーサイドリクエストフォージェリがある。影響を受けるのは全ドライバを同梱した配布形態（adminer.php のような全部入り）を使っている場合で、修正は 4.7.9 である。攻撃者は Adminer に任意の宛先へリクエストを送らせられるため、外部から直接は届かない内部のエンドポイントへ Adminer を踏み台にして到達できる。CVSS は NVD（Primary、nvd@nist.gov）と CNA の GitHub がいずれも 7.2 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N）で一致しており、評価元による食い違いは無い。旧 CVSS v2 では 6.4（AV:N/AC:L/Au:N/C:P/I:P/A:N）である。影響が Low 止まりでスコープ変更が付いているという評点は、この欠陥が単体の破壊力よりも他の資産への踏み台性で価値を持つことをそのまま表している。NVD の CPE には Adminer 本体の 4.0.0 以上 4.7.9 未満に加えて Debian 9 が列挙されており、参照にも Debian LTS の告知（2021 年 3 月）が載っている。公開は 2021 年 2 月だが、CISA KEV への収載は 2025-09-29 で、是正期限は 2025-10-20、ランサムウェア利用は Unknown。4 年以上前の CVE が現役の攻撃対象として再浮上した例である。NVD の vulnStatus は Analyzed。

この CVE で本当に難しいのは更新ではなく発見である。Adminer は「一時的に DB を見たいから」と単一ファイルを置いてそのまま忘れられる使われ方をするため、構成管理にも資産台帳にも載っていないことが多い。判定は、Web 公開しているドキュメントルート配下を find / -name 'adminer*' のような形で機械的に洗い、見つかったファイルの版を確認する（ファイル冒頭のバージョン表記や、ブラウザで開いたときのフッタ表示）。4.0.0 以上 4.7.9 未満で全ドライバ同梱の配布なら該当する。コンテナイメージの中、共有ホスティングの公開領域、開発用のステージングも見落としやすい。対応の第一選択は 4.7.9 以降への更新だが、より確実なのは撤去である。恒常的に必要でない管理ツールをインターネットから到達できる場所に置き続ける必然性は薄く、KEV に載るほど狙われている現状ではなおさらである。すぐに消せない場合は、到達元を業務上必要な IP に限定する、前段に Basic 認証や相互 TLS を置く、VPN の内側に閉じる、という形で外部からの到達を止める。SSRF なので踏み台として最初に狙われるのはクラウドのインスタンスメタデータサービスと内部専用の API である。ホスト側では、AWS ならメタデータを IMDSv2 必須（HttpTokens=required）にする、送信方向のファイアウォールで不要な宛先を塞ぐ、といった到達先の削り込みを併せて行う。KEV 収載済みで是正期限 2025-10-20 は今日（2026-08-17）から見て大幅に超過しているため、まだ残っているなら期限超過として扱い、実際に悪用されている前提で痕跡も確認する。具体的には、Adminer への外部アクセスログ、メタデータエンドポイントや内部 API への予期しない通信、DB 側の不審なログインと大量読み出しを洗い、疑わしければインスタンスロールの一時資格情報と DB のパスワードを再発行する。完了条件は、環境内の Adminer をすべて把握したうえで、撤去または 4.7.9 以降へ更新し、残すものは外部から到達できない状態にし、ログ遡及と資格情報の判断を終えた時点である。

Adminer Adminer を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2021-21311）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/10/20 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。