2025年5月30日、Apache Supersetの開発チームは、データ可視化・分析プラットフォーム「Apache Superset」に存在する深刻な脆弱性「CVE-2025-48912」について公式アドバイザリを公開しました。この脆弱性により、認証済みの攻撃者がSQLインジェクションを悪用し、行レベルセキュリティ（RLS）をバイパスして機密データにアクセスできる可能性があります。
影響を受けるバージョン
Apache Superset 4.1.2未満
脆弱性の対策バージョン
Supersetバージョン4.1.2へのアップグレード
脆弱性の概要
本脆弱性は、sqlExpression フィールドの入力値が不適切に処理されていたことに起因します。攻撃者はこのフィールドに悪意あるサブクエリを注入することで、RLSによって制限されたデータのフィルタリング処理を回避し、本来アクセスできない行データの取得が可能になります。
CVSSスコアは未公表ですが、深刻度は高い脆弱性になります。
攻撃の成立条件と影響
この攻撃は認証済みのユーザーが前提となるため、例えば社内の一般利用者や第三者に渡したアカウント情報を用いて、意図せず組織内の他の部門データや個人情報にアクセスされるリスクがあります。とくに以下のような組織で影響が大きくなります。
-
Superset上で複数のテナントや部門がデータを共有している
-
RLSを活用して細粒度のアクセス制御を行っている
-
ダッシュボードやレポートにSQL式を多用している
関連記事
Apache Tomcatに深刻な脆弱性、DoS攻撃やセキュリティルール回避のリスク- 迅速なアップデートを推奨(CVE-2025-31650)
Apache Tomcatでリモートコード実行や情報 漏洩のリスクがある脆弱性（CVE-2025-24813）
Apache Igniteでリモートコードが実行できる脆弱性(CVE-2024-52577)
Apache TomcatでCGIセキュリティ制約バイパスの脆弱性(CVE-2025-46701)
Apache Tomcatの脆弱性 CVE-2025-24813の悪用を確認、対象者は早急にアップデートを
Apache Parquet Javaの脆弱性(CVE-2025-30065)の検証・検出ツールをF5 Labsが公開
CISAがApache Tomcatの脆弱性 CVE-2025-24813をKEVに登録、対象者はアップデートが必須
Apache SeaTunnelに未認証アクセスの脆弱性(CVE-2025-32896)
Apache Tomcatがリモートコード実行の脆弱性およびDoS脆弱性を修正（CVE-2024-50379 、CVE-2024-54677）
