Apache Kylin のテーブルカタログ更新APIにおける SQL インジェクション（未認証で完全侵害）

Critical（CVSS 9.8）に分類されるApache Software Foundation Apache Kylin 4.0.0 以上 5.0.3 以下の脆弱性です。分散分析エンジン Apache Kylin に SQL インジェクションの欠陥がある。 NVD の記述によれば、**テーブルカタログを更新するバックエンド API** が、入力を適切に無害化しないまま SQL を組み立てるため、生成された SQL に攻撃者の文字列が混入する。影響を受けるのは 4.0.0 から 5.0.3 までで、5.0.4 で修正されている。 CVSS は NVD の Primary（nvd@nist.gov）で 9.8（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、深刻度 Critical である。ベクタを読むと、ネットワーク経由（AV:N）・攻撃条件が単純（AC:L）・**権限不要（PR:N）**・利用者操作不要（UI:N）で、機密性・完全性・可用性のすべてに高い影響が出る。採番元（134c704f-…）の Secondary も同じ 9.8 で、値の食い違いは無い。 ここで注意すべきなのは PR:N（権限不要）である。Kylin は社内の分析基盤として置かれることが多く、「内部ネットワークにあるから」と認証を緩めた構成や、管理 API をネットワーク的に絞っていない構成が実際にある。その場合、到達できる者はそのまま SQL を注入でき、Kylin が接続しているメタストア（多くは MySQL / PostgreSQL）まで届く。 Kylin はデータウェアハウス上のキューブ（事前集計データ）を扱う性質上、**バックエンドの Hive / HBase / Kafka などへの接続情報を保持している**。メタストアが取られると、そこから先の資格情報にも波及し得る。CVSS の C:H/I:H/A:H はこの広がりを反映している。 2026-08-09 時点で CISA KEV には収載されていない。

**Apache Kylin を 5.0.4 以上へ更新するのが恒久対応である。** Apache の告知（lists.apache.org のスレッド）でも 5.0.4 への更新が推奨されている。4.x 系を使っている場合は 5 系へのメジャーアップグレードになるため、キューブ定義とメタストアの移行手順を先に確認する。 更新までの緩和は **到達経路を絞ること**である。Kylin の Web UI / REST API を公開ネットワークやオフィス全体から到達できる状態にせず、リバースプロキシや Security Group / ファイアウォールで接続元 IP を分析基盤の運用者に限定する。認証を有効化していない環境があれば、更新より先にそこを塞ぐ。 もう一つの緩和は **メタストア接続ユーザーの権限を落とすこと**である。Kylin がメタストアへ接続するアカウントに DDL 権限や他データベースへのアクセス権が付いたままであれば、注入が成功したときの被害範囲がそのぶん広がる。必要最小限のスキーマに限定する。 **事後の確認は SQL のログで行う。** メタストア側のクエリログ（MySQL の general log / PostgreSQL の log_statement）に、カタログ更新の文脈に合わない SQL（UNION、information_schema への参照、コメント記号での打ち切り）が残っていないかを確認する。Kylin 側のアクセスログでは、テーブルカタログ更新 API への想定外の呼び出し元を探す。

Apache Software Foundation Apache Kylin 4.0.0 以上 5.0.3 以下 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-62390）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。