脆弱性要約：Sparx Systems Enterprise Architect & Pro Cloud Server の複数の重大脆弱性 脆弱性概要 Sparx Systems の Enterprise Architect (EA) および Pro Cloud Server (PCS) には、複数の重大なセキュリティ脆弱性が存在します。攻撃者はこれらの脆弱性を悪用し、認証不要のリモートコード実行、SQLインジェクション、認証バイパス、および権限昇格を実現できます。 中核的なリスク： 認証なしで企業アーキテクチャモデル、設計成果物、およびユーザー資格情報にアクセス可能 任意のSQLクエリおよびオペレーティングシステムコマンドの実行が可能 すべてのアクセス制御メカニズムをバイパス可能 データ漏洩、システム完全支配、およびサービス停止を引き起こす可能性 CVSSv4 スコア： 10.0（最重症度） 影響範囲 影響を受ける製品： Sparx Pro Cloud Server ≤ 6.1 build 167 Sparx Enterprise Architect ≤ 17.1 リスクレベル： 高危険度（Critical） 攻撃条件： サーバーが外部ネットワークからアクセス可能（インターネット、VPNレスリモートアクセスなど） 上記の影響を受けるバージョンを実行していること 具体的な脆弱性詳細 CVE-2026-42096 - アクセス制御破壊 / 任意SQL実行 (CVSSv4 8.7) 根本原因： PCS は透過的なデータベースプロキシとして機能しますが、公開ダウンロード可能なEA試用版バイナリ内の対称暗号化キーを使用しています 影響： リポジトリ内容の完全な読み取り、無制限の書き込みアクセス、資格情報ハッシュの収集、ユーザーの承認なしでDBAレベルのSQL実行が可能 CVE-2026-42097 - Pro Cloud Server 認証バイパス (CVSSv4 9.3) 根本原因： SQL実行ロジックはURLのクエリパラメータからモデル名を読み取りますが、POSTボディ内では依然としてモデル名が提供されています 影響： 認証不要でSQLインジェクションを悪用可能、アクセス可能なPCSインスタンスはすべて攻撃対象 CVE-2026-42098 - Enterprise Architect 認可バイパス (CVSSv4 8.7) 根本原因： クライアント側のEAバイナリは、サーバー側ではなくローカルで認可チェックを実行します 影響： 管理者になりすまし、パスワード窃盗、およびアカウント乗っ取りが可能 CVE-2026-42099 - WebEA 競合状態リモートコード実行 (CVSSv4 7.7) 根本原因： WebEA PHPコンポーネントは、攻撃者が制御するファイルの内容をアクセス可能なディレクトリに直接書き込みます 影響： 完全なリモートコード実行、持続的アクセス、内部ネットワーク内の横向き移動（ラテラルムーブメント）が可能 CVE-2026-42100 - PCS エンドポイント拒否サービス (CVSSv4 7.1) 根本原因： 終了していないエスケープシーケンスを含む不正なSQLクエリを送信するとプロセスがクラッシュします 影響： 非承認の攻撃者によるサービスの完全な停止が可能 攻撃チェーン 攻撃者は以下の順序で脆弱性を悪用し、完全なコントロールを実現できます： 1. 認証バイパス (CVE-2026-42097) - すべてのサーバー側認証チェックをバイパス 2. SQLインジェクション (CVE-2026-42096) - 抽出された暗号化キーを使用して任意のSQLを実行 3. リモートコード実行 (CVE-2026-42099) - 競合状態を利用して悪意のあるPHPファイルを実行 4. 攻撃後処理 - データの外部流出、持続的アクセス、内部インフラストラクチャへの浸透 修正方案 即時対応（24時間以内） Sparx Systems が公開した最新のパッチをインストールする PCS および WebEA を公共インターネットからのアクセスから隔離する - 信頼された内部ネットワークまたは VPN のみに限定する ファイアウォールおよびネットワーク規則を監査し、外部からアクセス可能な PCS の HTTP/HTTPS ポートがないことを確認する 異常なSQLパターンおよび予期しない POST リクエストのログを確認する セキュリティ運営チームに通知し、インシデントレスポンスを開始する 短期対応（1〜2週間） すべての PCS および EA インストールが、Sparx Systems が公開したパッチ適用済みバージョンにアップグレードされていることを確認する PCS 設定において、「安全で認証された接続を必要とする」オプションを強制する WebEA が不要であれば無効化し、必要な場合は認証済みリバースプロキシの背後に配置する ネットワークセグメンテーションを実施し、アーキテクチャリポジトリへのアクセスを制限する 異常なアクセスパターンおよび潜在的なデータ漏洩の兆候を監視する 長期的対応 定期的なセキュリティ評価およびペネトレーションテストを実施する 脆弱性管理プロセスを整備する 代替ソリューションの検討、または影響を受けない製品バージョンへのアップグレードを検討する