プラットフォーム
java
コンポーネント
skywalking
修正版
10.3.1
10.4.0
CVE-2026-30778 describes a configuration leak vulnerability affecting Apache SkyWalking versions 9.7.0 through 10.3.0. This vulnerability allows attackers to potentially extract sensitive configuration details from MySQL or PostgreSQL databases integrated with SkyWalking. Affected users should upgrade to version 10.4.0 to address this security concern.
Apache SkyWalking の CVE-2026-30778 は、9.7.0 から 10.3.0 までのバージョンに影響します。SkyWalking の OAP (Observability Analysis Platform) の /debugging/config/dump エンドポイントを通じて、MySQL および PostgreSQL データベースの機密設定情報が漏洩する可能性があります。この情報には、パスワード、ユーザー名、その他の設定詳細が含まれる可能性があり、侵害された場合、攻撃者が基になるデータベースにアクセスして保存されているデータを操作したり、システムにアクセスしたりする可能性があります。この脆弱性の重大性は、SkyWalking が実行されているネットワークにアクセスできる攻撃者が、これらの情報にアクセスできる容易さにあります。
この脆弱性は、/debugging/config/dump エンドポイントへの単純な HTTP リクエストを通じて悪用されます。このエンドポイントにアクセスするために認証は必要なく、SkyWalking が実行されているネットワークにアクセスできる人は誰でも、この脆弱性を悪用する可能性があります。攻撃者は、単にエンドポイントに GET リクエストを送信するだけで、MySQL/PostgreSQL 設定情報がプレーンテキストで返されます。悪用の容易さから、この脆弱性は特に懸念されるものであり、特に SkyWalking がパブリックまたは共有ネットワークで実行されている環境ではその傾向が強くなります。
Organizations utilizing Apache SkyWalking for application performance monitoring (APM) and distributed tracing, particularly those integrating with MySQL or PostgreSQL databases, are at risk. Environments with exposed SkyWalking OAP servers or those lacking robust access controls are especially vulnerable.
• java / server:
ps aux | grep -i skywalking• generic web:
curl -I http://<skywalking_oap_ip>/debugging/config/dump• generic web:
grep -i "/debugging/config/dump" /etc/skywalking/config.yamldisclosure
エクスプロイト状況
EPSS
0.04% (11% パーセンタイル)
CVE-2026-30778 を軽減するための推奨される解決策は、Apache SkyWalking をバージョン 10.4.0 以降にアップグレードすることです。このバージョンには、機密設定情報が公開されないようにする修正が含まれています。その間、一時的な措置として、SkyWalking の OAP で /debugging/config/dump エンドポイントを無効にすることをお勧めします。これは、OAP の構成を変更して、このエンドポイントへのアクセスを削除または制限することで行うことができます。SkyWalking 環境を保護し、潜在的な攻撃を防ぐために、このアップグレードまたは一時的な措置をできるだけ早く適用することが重要です。
Actualice a la versión 10.4.0 de Apache SkyWalking para evitar la posible fuga de información de configuración sensible de MySQL/PostgreSQL a través del endpoint /debugging/config/dump. Esta vulnerabilidad permite a atacantes acceder a datos confidenciales almacenados en la configuración de la base de datos. La actualización es la solución recomendada para mitigar el riesgo.
脆弱性分析と重要アラートをメールでお届けします。
Apache SkyWalking は、アプリケーションの可観測性を実現するためのオープンソースプラットフォームであり、パフォーマンス監視、トポロジ管理、根本原因分析を提供します。
CVE-2026-30778 は、Apache SkyWalking の特定の脆弱性を記述する Common Vulnerabilities and Exposures (CVE) の識別子です。
9.7.0 から 10.3.0 までの SkyWalking バージョンを使用している場合は、影響を受けている可能性が高いです。使用している SkyWalking のバージョンを確認してください。
一時的な措置として、/debugging/config/dump エンドポイントを無効にすることができます。
Apache SkyWalking の公式ドキュメントと、CVE-2026-30778 に関連するセキュリティアドバイザリを参照してください。
pom.xml ファイルをアップロードすると、影響の有無を即座にお知らせします。