DB-GPT 0.8.2 以下 CVE-2026-123018・123019: LLM 生成コードの無防備な実行と、モデルの外部コード実行が既定で有効（登録元評価 CVSS v4 5.5、研究者は 9.8 と主張・修正版なし）

オープンソースのデータ分析 AI 基盤 DB-GPT（eosphoros-ai）の 0.8.2 以下で、サーバー上で任意のコードが動く恐れのある欠陥が 2 件登録されました（CVE-2026-123018・CVE-2026-123019）。NVD への登録は 2026-11-05 で、状態は Deferred（NVD の評価待ち）です。開発元は、8 月に報告された issue に 2026-11-05 時点で反応しておらず、修正版は確認できていません。

何が起きるか

• CVE-2026-123018（CodeAction の code_utils.py、execute_code）: 同梱のエージェント「CodeEngineer」が、AI モデルの出力に含まれる python・bash のコードブロックをそのまま実行します。公式 Docker イメージでは「Docker の中だから」という判定が常に真になり、本来の隔離実行が使われず、サーバーのプロセスでそのまま動きます。実行前の確認処理も何もしない作りです。
• CVE-2026-123019（HuggingFace アダプターの hf_adapter.py）: HuggingFace のモデルを読み込むとき、モデル配布元のコードを実行する設定（trust_remote_code）が既定で有効です。悪意あるモデルを指定すると、その中のコードが DB-GPT のサーバー上で動きます。

研究者の公開アドバイザリーによると、既定の設定ではどちらも認証がなく、サービスは全アドレス待ち受け（0.0.0.0:5670）です。アプリの作成やモデルの登録に使う API も認証なしで呼べるため、ネットワークから届く相手がそのまま実行まで進められると説明されています。公式 Docker 環境で 8 回中 8 回再現したと報告されています（CodeAction 側。研究者による検証で、当サイトでの再現は未確認です）。

数値と severity

• 登録元（VulDB）の評価は 2 件とも CVSS v4.0 で 5.5（AV:N/AC:L/AT:N/PR:N/UI:N、機密性・完全性・可用性がいずれも低）です。NVD 自身の評価はまだありません。
• 研究者のアドバイザリーは、同じ内容を CVSS 9.8（認証不要の遠隔コード実行）と評価しています。数値が大きく食い違います。
• 認証不要ですが、公式に登録された評価が 9 未満のため、基準どおり severity は high とします。研究者の評価どおりなら critical に当たるため、確定は編集側の判断を待ちます。
• CISA の KEV には載っていません。FIRST の EPSS はまだ付与されていません（確認時点）。公開済みの概念実証（PoC）があるとされています（登録元の説明）。

修正の状況

• 修正版は確認できません。開発元の issue（#3287・#3290）は 2026-10-14 に立てられ、2026-11-05 時点でコメントなし・未解決です。
• 影響を受ける版は「0.8.2 以下」とされています。

対策として考えられること

1. DB-GPT を使っている場合は、サービスをインターネットや社内の広い範囲に公開していないか確認します。
2. 待ち受けアドレスを 127.0.0.1 に限る、リバースプロキシや VPN で認証を付ける、といった形でネットワークの入口を絞ります。
3. CodeEngineer など、AI の出力したコードを実行する機能は使わない、または隔離した環境（コンテナの外側で別に用意するサンドボックス）に限ります。
4. HuggingFace モデルは信頼できる配布元に限り、trust_remote_code の設定を明示的に無効にします（有効性は未確認で、推定です）。
5. 開発元の修正版が出たら更新します。

未確認の点

• 実際の悪用の有無（公開 PoC の存在は登録元の説明による）。
• 研究者が示した 9.8 の評価の妥当性と、NVD の最終評価。
• 既定以外の設定（認証を有効にした環境など）でどこまで影響するか。
• 修正版の予定と、利用規模。