--- title: "MariaDB Connector/J に脆弱性 5 件（CVE-2026-119210 ほか）: 不正なサーバーにクライアントのファイルを読まれる恐れ。3.3.7・3.4.5・3.5.11 で修正" url: https://n-t-p.io/worldsecurity/articles/mariadb-connector-j-rogue-server-local-infile-file-read-2026-119281 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 中 cve: CVE-2026-119210, CVE-2026-119276, CVE-2026-119279, CVE-2026-119280, CVE-2026-119281 --- # MariaDB Connector/J に脆弱性 5 件（CVE-2026-119210 ほか）: 不正なサーバーにクライアントのファイルを読まれる恐れ。3.3.7・3.4.5・3.5.11 で修正 > **TL;DR:** MariaDB Connector/J の 5 件（CVE-2026-119210 ほか、Medium 4・Low 1）。不正なサーバーや中間者が、クライアントのファイルを読む（119210）、文字列の解釈をずらす（119281）、メモリを大量に確保させる（119276・119279・119280）ことができる。3.3.7・3.4.5・3.5.11 で修正（10/21）。KEV 掲載なし、EPSS は 0.3% 前後。 **要点** - CVE-2026-119210: LOAD DATA LOCAL INFILE の検査が甘く、不正なサーバーがクライアント JVM の読めるファイルを取得できる（CVSS 5.9）。allowLocalInfile が既定で有効なのが条件 - CVE-2026-119281（文字コードのずれ）、119276・119279・119280（メモリ確保・例外）。いずれもサーバー側を握られる、または中間者が前提 - 影響は 3.0.0〜3.3.6、3.4.0〜3.4.4、3.5.0〜3.5.10。3.3.7・3.4.5・3.5.11 以降に更新（119279 の 3.5 系は 3.5.10） - 更新できないときは allowLocalInfile=false（LOCAL INFILE を使わない場合）。TLS と証明書の検証も併用 - NVD は未確認。KEV 掲載なし。EPSS は 0.28〜0.35%（10/30） Java 用の MariaDB 接続ライブラリ MariaDB Connector/J（`org.mariadb.jdbc:mariadb-java-client`）に、2026 年 10 月 30 日（UTC）に 5 件の脆弱性が公開されました。GitHub Advisory では Medium が 4 件、Low が 1 件です。いずれも「接続先のサーバーが不正、または通信が中間者に改ざんされる」場合に問題になります。CISA の KEV には載っていません。EPSS は 0.28〜0.35% です（10/30 時点）。修正版の 3.3.7・3.4.5・3.5.11 は 10/21 に公開されています。 ## 5 件の内容 | CVE | 種類 | 内容 | CVSS v3.1 | |---|---|---|---| | CVE-2026-119210 | 情報漏えい | `LOAD DATA LOCAL INFILE` の検査が甘く、不正なサーバーがクライアントのファイルを読める | 5.9（Medium） | | CVE-2026-119281 | 改ざん | サーバーが `character_set_results` を変えても気づかず、文字列の解釈がずれる | 5.9（Medium） | | CVE-2026-119276 | サービス拒否 | OK パケットのサーバー指定の長さで大きなメモリを確保させられる | 5.9（Medium） | | CVE-2026-119279 | サービス拒否 | 長さの整数を `int` に切り詰め、負の値や異常な長さになる | 5.9（Medium） | | CVE-2026-119280 | サービス拒否 | XA の `recover()` がサーバー指定の長さを信じて確保する | 3.7（Low） | ## 影響を受ける版 どの 5 件も同じ範囲です。3.0.0 以上 3.3.7 未満、3.4.0 以上 3.4.5 未満、3.5.0 以上 3.5.11 未満（CVE-2026-119279 だけ、3.5 系の修正は 3.5.10）。勧告に 4.x の記載はありません。 ## 一番注意したい CVE-2026-119210 - 勧告によると、サーバーから `LOAD DATA LOCAL INFILE` の要求が来たとき、Connector/J は送ったコマンドの文字列に該当するテキストがあるかを調べていました。この調べ方が、引用符で囲んだ識別子や文字列の中も一致と見なしていました。 - `DatabaseMetaData.getImportedKeys()` や `getExportedKeys()` などは、サーバーが返したデータベース名・テーブル名を次のクエリにそのまま入れます。サーバーが `LOAD DATA LOCAL INFILE '/etc/passwd'` のような名前を返すと、検査をすり抜けて、クライアントの JVM が読めるファイルがサーバーに送られます。`getImportedKeys()` では発生したエラーが握りつぶされ、アプリ側からは何も見えません。 - 条件は、サーバー側を握られていること（または中間者）と、`allowLocalInfile` が有効なこと（既定で有効）です。設定ファイル、認証情報、キーストアなどが対象になり得ます。 - 修正では、文字列・引用符つき識別子・コメントを読み飛ばし、文の先頭にある `LOAD DATA LOCAL INFILE` だけを見て、ファイル名を厳密に比べるようになりました。 ## 残りの 4 件 - CVE-2026-119281: Connector/J は結果を UTF-8 として読みます。`character_set_client` は UTF-8 以外に変わると接続を閉じていましたが、`character_set_results` は見ていませんでした。サーバーが変えると、アプリが受け取る文字列が実際のバイト列と食い違い、アプリ側の検証やエスケープを素通りする恐れがあります。修正版は追跡する変数を明示して要求し、UTF-8 系以外への変更で接続を閉じます。 - CVE-2026-119276: セッション追跡が有効（既定）だと、OK パケットにサーバー指定の長さが入ります。18 バイトのパケットで 8 MiB の確保が起こせると勧告にあります。GC の負荷から `OutOfMemoryError` まで起き得ます。 - CVE-2026-119279: 8 バイトの長さを検証せずに `int` に切り詰めていたため、負の値や無関係な値が長さとして使われ、例外や大きな確保になります。 - CVE-2026-119280: XA リカバリを使うアプリだけが対象です。範囲外の長さで例外や大きな確保になります。 ## 対応 1. Connector/J を 3.3.7、3.4.5、3.5.11 以降に更新します（4.0.0 も 10/21 に公開されています。勧告の影響範囲には含まれていません）。 2. すぐ更新できない場合、`LOAD DATA LOCAL INFILE` を使っていなければ `allowLocalInfile=false` にします（CVE-2026-119210 の回避策）。 3. 接続は TLS で行い、サーバー証明書を検証します。通信を改ざんされる経路を減らせます。接続先を信頼できないサーバーにしない運用も重要です。 4. 信頼できないサーバーに古い版でつないでいた場合は、JVM から読めるファイルに秘密情報がなかったかを確認します。 ## 未確認の点 - NVD の記載は確認できていません（公開直後）。 - 悪用の報告は見つかっていません（KEV 掲載なし、EPSS は低い水準）。 - 勧告は、5 件とも「サーバー側を握られている、または中間者」であることを悪用の前提にしています。 ## 出典 - [GitHub Advisory GHSA-h599-m3w5-9m7x](https://github.com/advisories/GHSA-h599-m3w5-9m7x) — GitHub - [GitHub Advisory GHSA-797x-p4mc-jwpm](https://github.com/advisories/GHSA-797x-p4mc-jwpm) — GitHub - [GitHub Advisory GHSA-4jq2-8v3c-97w8](https://github.com/advisories/GHSA-4jq2-8v3c-97w8) — GitHub - [GitHub Advisory GHSA-fhx5-2xqw-2cgm](https://github.com/advisories/GHSA-fhx5-2xqw-2cgm) — GitHub - [GitHub Advisory GHSA-grfq-r75j-rw9x](https://github.com/advisories/GHSA-grfq-r75j-rw9x) — GitHub - [MariaDB Connector/J 3.5.11 リリース](https://github.com/mariadb-corporation/mariadb-connector-j/releases/tag/3.5.11) — MariaDB - [NVD CVE-2026-119210](https://nvd.nist.gov/vuln/detail/CVE-2026-119210) — NIST NVD - [NVD CVE-2026-119276](https://nvd.nist.gov/vuln/detail/CVE-2026-119276) — NIST NVD - [NVD CVE-2026-119279](https://nvd.nist.gov/vuln/detail/CVE-2026-119279) — NIST NVD - [NVD CVE-2026-119280](https://nvd.nist.gov/vuln/detail/CVE-2026-119280) — NIST NVD - [NVD CVE-2026-119281](https://nvd.nist.gov/vuln/detail/CVE-2026-119281) — NIST NVD - [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-119210,CVE-2026-119276,CVE-2026-119279,CVE-2026-119280,CVE-2026-119281) — FIRST - [CISA Known Exploited Vulnerabilities Catalog（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/mariadb-connector-j-rogue-server-local-infile-file-read-2026-119281