CVE-2012-2695は、Ruby on RailsのactiverecordコンポーネントにおけるSQLインジェクション脆弱性です。この脆弱性は、ネストされたクエリパラメータの不適切な処理に起因し、攻撃者がデータベースに対して悪意のあるSQLクエリを実行することを可能にします。影響を受けるバージョンは、Rails 2.3.15以前、3.0.x 3.0.14以前、3.1.x 3.1.6以前、および3.2.x 3.2.6以前です。バージョン3.0.14へのアップデートで修正されています。
この脆弱性を悪用されると、攻撃者はデータベース内の機密情報にアクセスしたり、改ざんしたり、削除したりする可能性があります。特に、ユーザー認証情報、個人情報、財務データなどが危険にさらされる可能性があります。攻撃者は、この脆弱性を利用して、データベースサーバー上で任意のコードを実行したり、他のシステムへの攻撃の足がかりとして利用したりすることも可能です。この脆弱性は、Railsアプリケーションをホストするサーバー全体のセキュリティに重大な影響を与える可能性があります。類似の脆弱性は、SQLインジェクション攻撃の一般的なパターンとして知られています。
このCVEは、2017年10月24日に公開されました。現時点では、KEVリストに登録されていません。公開されているPoCは確認されていませんが、SQLインジェクション攻撃は一般的な攻撃手法であり、悪用される可能性は否定できません。NVDおよびCISAの情報を定期的に確認し、最新の脅威情報に注意を払う必要があります。
エクスプロイト状況
EPSS
0.64% (70% パーセンタイル)
この脆弱性への対応策として、まずRailsアプリケーションをバージョン3.0.14以降にアップデートすることを強く推奨します。アップデートが利用できない場合は、一時的な回避策として、入力データの検証を強化し、SQLクエリのパラメータ化を徹底することが有効です。Webアプリケーションファイアウォール（WAF）を導入し、SQLインジェクション攻撃を検知・防御するルールを設定することも有効です。また、データベースのアクセス権限を最小限に制限し、不要な権限を削除することも重要です。アップデート後、アプリケーションの動作を十分にテストし、脆弱性が解消されていることを確認してください。
公式パッチはありません。回避策を確認するか、アップデートを監視してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2012-2695は、Ruby on RailsのactiverecordコンポーネントにおけるSQLインジェクション脆弱性です。ネストされたクエリパラメータの不適切な処理により、攻撃者がデータベースに対して悪意のあるSQLクエリを実行できる可能性があります。
Rails 2.3.15以前、3.0.x 3.0.14以前、3.1.x 3.1.6以前、および3.2.x 3.2.6以前のバージョンを使用している場合は、影響を受けます。
Railsアプリケーションをバージョン3.0.14以降にアップデートすることを強く推奨します。アップデートが利用できない場合は、入力データの検証を強化し、SQLクエリのパラメータ化を徹底してください。
現時点では、活発な悪用事例は確認されていませんが、SQLインジェクション攻撃は一般的な攻撃手法であり、悪用される可能性は否定できません。
Ruby on Railsの公式アドバイザリは、[https://github.com/rails/rails/security/advisories](https://github.com/rails/rails/security/advisories)で確認できます。
Gemfile.lock ファイルをアップロードすると、影響の有無を即座にお知らせします。