Dgraph: 認証されていない/debug/pprof/cmdlineは管理者認証トークンを公開し、保護されたAlpha管理者エンドポイントへの不正アクセスを可能にする

CVE-2026-40173 は、Dgraph Alpha に存在する認証されていないデバッグエンドポイントであり、フルプロセスコマンドラインを公開します。これには、--security "token=..." から設定された管理者トークンが含まれます。この脆弱性は、トークン検証ロジックを直接破るものではありませんが、管理者トークンを漏洩させ、X-Dgraph-AuthToken ヘッダーで漏洩したトークンを再利用することで、不正な管理者レベルへのアクセスを可能にします。リスクは高く、特に管理者トークンのセキュリティが最優先事項となる環境では、そのリスクは大きいです。フルコマンドラインの公開は、システム構成の理解を容易にし、他の脆弱性につながる可能性があります。

Organizations utilizing Dgraph Alpha in production environments, particularly those relying on the admin token for access control, are at significant risk. Deployments with default configurations or those that have not implemented robust security practices are especially vulnerable. Shared hosting environments where multiple users share a Dgraph instance are also at increased risk.

• linux / server:

journalctl -u dgraph -g "debug endpoint"

• generic web:

curl -I http://<dgraph_alpha_ip>:8080/_debug/ | grep -i "X-Dgraph-AuthToken"

1. 2026-04-15Disclosure

   disclosure

1. 予約済み2026-04-09
2. 公開日2026-04-15
3. 更新日2026-04-16
4. EPSS 更新日2026-04-23

主な軽減策は、Dgraph Alpha をバージョン 25.3.2 以降にアップグレードすることです。このバージョンは、デバッグ API へのパブリックアクセスを削除することで脆弱性を修正します。追加の予防措置として、管理者トークンの権限を確認し、制限してください。Dgraph Alpha のセキュリティ構成を定期的に監査し、疑わしいアクティビティがないかログを監視することも重要です。デバッグ API を本番環境で無効にすることは、積極的に使用されていない場合でも推奨されるセキュリティプラクティスです。