ZTE GoldenDBのDDEインジェクション脆弱性CVE-2025-46579が公開、深刻なセキュリティリスク

記事の要約

• ZTE GoldenDBデータベース製品のDDEインジェクション脆弱性CVE-2025-46579が公開された
• バージョン6.1.03～6.1.03.10、7.2.01.01、Lite7.2.01.01が影響を受ける
• 攻撃者はDDE式を注入し、影響を受けるファイルをダウンロード・開くとDDEコマンドが実行される

ZTE GoldenDBデータベース製品の脆弱性情報公開

ZTE Corporationは2025年4月27日、GoldenDBデータベース製品におけるDDEインジェクション脆弱性CVE-2025-46579に関する情報を公開した。この脆弱性により、攻撃者はインターフェースを通じてDDE式を注入することが可能となるのだ。

影響を受けるのはLinuxプラットフォーム上のGoldenDBデータベース製品のバージョン6.1.03から6.1.03.10、7.2.01.01、そしてLite7.2.01.01である。ユーザーが影響を受けるファイルをダウンロードして開くと、DDEコマンドが実行される可能性がある。

ZTE Corporationは、この脆弱性に関する詳細な情報を公開し、ユーザーに対して迅速な対応を呼びかけている。CVSSスコアは8.4と高く、深刻な脆弱性と評価されているのだ。

この脆弱性に関する情報は、ZTEのサポートサイトにも掲載されている。

脆弱性情報詳細

DDEインジェクション脆弱性について

DDEインジェクションとは、Dynamic Data Exchange (DDE) の仕組みを利用した攻撃手法である。DDEはWindowsアプリケーション間でデータ交換を行うための仕組みだが、悪意のあるDDEリンクを埋め込んだファイルを開かせることで、攻撃コードを実行させることが可能となる。

• ファイルを開くだけで攻撃が実行される
• リモートコード実行につながる可能性がある
• 高度な知識がなくても攻撃が可能である場合がある

この脆弱性は、ユーザーが意図せず悪意のあるファイルを開いてしまうことで発生する可能性があるため、注意が必要だ。

CVE-2025-46579に関する考察

ZTE GoldenDBにおけるDDEインジェクション脆弱性の発見は、データベース製品のセキュリティ対策の重要性を改めて示している。迅速なパッチ適用と、ユーザーへの情報提供が不可欠である。この脆弱性を利用した攻撃は、データ漏洩やシステム破壊といった深刻な被害につながる可能性があるのだ。

今後、同様の脆弱性が他のデータベース製品でも発見される可能性も否定できない。そのため、各ベンダーはセキュリティ対策の強化に努め、ユーザーは最新のセキュリティパッチを適用する必要があるだろう。定期的なセキュリティ監査の実施も重要となる。

さらに、ユーザー教育も重要である。DDEインジェクション攻撃の手口や、悪意のあるファイルを開かないための対策を周知徹底することで、被害を最小限に抑えることができるだろう。セキュリティ意識の向上は、企業とユーザー双方にとって不可欠な要素だ。

参考サイト/関連サイト