JVNDB-2026-027044

Apache Software FoundationのApache Supersetにおける非効率的な正規表現の複雑さに関する脆弱性

Apache Supersetのバージョン1.5.0から5.0.0において、正規表現によるサービス拒否（ReDoS）脆弱性が存在します。この脆弱性は、sql_parse.pyコンポーネント内の、特にsqlparseライブラリ統合でSQL文を解析するために使用されるSQL_REGEXにあります。影響を受ける正規表現は、共通の外側量指定子を共有する重複した選言を含んでいます。認証済みの攻撃者は、悪意のある形式で作成された入力文字列（特に長いバックスラッシュや類似の文字の連続）をSQLクエリを処理するエンドポイントに送信することで、この脆弱性を悪用できます。本問題はApache Supersetの6.0.0未満のバージョンに影響があります。ユーザーは、本問題を修正したバージョン6.0.0へのアップグレードを推奨します。回避策： ● WAFルール：Webアプリケーションファイアウォール（WAF）ルールを実装し、queries.extras.whereパラメータ内で過度に長いバックスラッシュの連続や疑わしい繰り返しパターンを含むリクエストを検知およびブロックします。 ● レート制限：/api/v1/chart/dataエンドポイントに対して厳格なレート制限を適用し、潜在的な攻撃の影響を軽減します。

Apache Software Foundation

• Apache Superset 1.5.0 以上 6.0.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-23985: Apache Superset: Regular Expression Denial of Service (ReDoS) in SQL Parser-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-23985: Apache Superset: Regular Expression Denial of Service (ReDoS) in SQL Parser

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2026-23985

1. National Vulnerability Database (NVD) : CVE-2026-23985

• [2026年08月06日]
    掲載