AirbyteにCriticalのコード実行問題―unsafe code無効でも成立、JVNが影響版を訂正

JVNは2026年11月10日、Airbyteの任意コード実行問題について影響版を「2.2.0より前」へ訂正しました。開発元の初回公表は10月17日、JVNの初回公表は11月4日です。開発元の評価はCVSS v3.1 9.9／Critical（緊急）で、修正版は2.2.0。JVNは悪用確認済みとしていますが、被害規模は記載していません。

Connector Builderのテスト用manifestから呼べるPythonクラスの制限が不足し、コンテナ内の想定外のオブジェクトを読み込み、コマンドを実行できる問題です。AIRBYTE_ENABLE_UNSAFE_CODEを有効にしていなくても成立します。コード実行を許可しない設定だけでは防げなかった点が、影響判断の要点です。

2.xではWorkspace ReaderまたはOrganization Reader以上の認証済み利用者が条件です。一方、旧Helm chartで導入した1.xでは認証設定がConnector Builderへ引き継がれず、同サービスにネットワーク接続できる相手が未認証で悪用できると開発元は説明しています。コンテナが保持するデータ・認証情報や、そこから到達できる内部サービスへ影響するおそれがあります。

開発元は1.xへ修正を提供せず、2.2.0以降への移行を求めています。修正版はunsafe codeを明示的に有効にしない限り、Builderから渡すカスタムコンポーネントを拒否します。直ちに更新できない場合は対象サービスへの接続元とReader権限を制限してください。Airbyte Cloudの利用者は対応不要と案内されています。