NVD脆弱性詳細
Exploit、PoC検索
CVE-2020-25638
概要

A flaw was found in hibernate-core in versions prior to and including 5.4.23.Final. A SQL injection in the implementation of the JPA Criteria API can permit unsanitized literals when a literal is used in the SQL comments of the query. This flaw could allow an attacker to access unauthorized information or possibly conduct further attacks. The highest threat from this vulnerability is to data confidentiality and integrity.

公表日 2020年12月3日0:15
登録日 2021年1月26日11:55
最終更新日 2024年11月21日14:18
CVSS3.1 : HIGH
スコア 7.4
ベクター CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 高
攻撃に必要な特権レベル(PR) 不要
利用者の関与(UI) 不要
影響の想定範囲(S) 変更なし
機密性への影響(C) 高
完全性への影響(I) 高
可用性への影響(A) なし
CVSS2.0 : MEDIUM
スコア 5.8
ベクター AV:N/AC:M/Au:N/C:P/I:P/A:N
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 中
攻撃前の認証要否(Au) 不要
機密性への影響(C) 低
完全性への影響(I) 低
可用性への影響(A) なし
全ての特権を取得 いいえ
ユーザー権限を取得 いいえ
その他の権限を取得 いいえ
ユーザー操作が必要 いいえ
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:a:hibernate:hibernate_orm:*:*:*:*:*:*:*:* 5.4.0 5.4.24
cpe:2.3:a:hibernate:hibernate_orm:*:*:*:*:*:*:*:* 5.3.20
構成2 以上 以下 より上 未満
cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
構成3 以上 以下 より上 未満
cpe:2.3:a:quarkus:quarkus:*:*:*:*:*:*:*:* 1.9.2
構成4 以上 以下 より上 未満
cpe:2.3:a:oracle:retail_customer_management_and_segmentation_foundation:19.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_cloud_native_core_console:1.9.0:*:*:*:*:*:*:*
関連情報、対策とツール
共通脆弱性一覧
JVN脆弱性情報
Hibernate ORM における SQL インジェクションの脆弱性
タイトル Hibernate ORM における SQL インジェクションの脆弱性
概要

Hibernate ORM は Java 向けの ORM フレームワークです。Hibernate ORM では、デバッグに役立つよう、内部で生成する SQL 文にコメントをつけることができます。(hibernate.use_sql_comments を true に設定する。初期設定では false。) hibernate.use_sql_comments を true に設定した場合の入力処理には不備があり、SQL インジェクションの脆弱性 (CWE-89) が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: （株）NTTデータ 技術革新統括本部 システム技術本部 デジタル技術部 インテグレーション技術担当 TERASOLUNA Framework 開発チーム

想定される影響 hibernate.use_sql_comments を true に設定している場合、細工した入力を処理することで SQL インジェクション攻撃を受ける可能性があります。
対策

[アップデートする] 開発者が提供する情報を参考に、Hibernate ORM を更新してください。 [ワークアラウンドを実施する] hibernamte.use_sql_comments を false に設定してください。
公表日 2020年11月19日0:00
登録日 2020年11月19日12:08
最終更新日 2022年11月2日16:42
影響を受けるシステム
Hibernate
Hibernate ORM 5.3.20 より前のバージョン
Hibernate ORM 5.4.24 より前のバージョン
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
変更履歴
No 変更内容 変更日
1 [2020年11月19日]
  掲載		 2020年11月17日15:23
2 [2022年11月02日]
  影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
  ベンダ情報：日立 (hitachi-sec-2022-136) を追加		 2022年11月2日16:00