JVNDB-2026-016230

Apache Software FoundationのApache Flinkにおけるコードインジェクションの脆弱性

Apache Flink 1.15.0から1.20.xおよび2.0.0から2.xにおいて、SQLコード生成時のコードインジェクションにより、クエリ送信権限を持つ認証済みユーザーが悪意のあるSQLクエリを介してTaskManager上で任意のコードを実行できる脆弱性があります。この脆弱性は、JSON関数（1.15.0以降）およびESCAPE句を含むLIKE式（1.17.0以降）に影響します。ユーザーが制御する文字列が適切なエスケープ処理をされずに生成されたJavaコードに埋め込まれるため、攻撃者は文字列リテラルを抜け出して任意の式を注入できます。ユーザーはこの問題を修正したバージョン1.20.4、2.0.2、2.1.2または2.2.1にアップグレードすることを推奨します。

Apache Software Foundation

• Apache Flink 1.15.0 以上 1.20.4 未満
• Apache Flink 2.0.0 以上 2.0.2 未満
• Apache Flink 2.1.0 以上 2.1.2 未満
• Apache Flink 2.2.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-35194: Apache Flink: Remote code execution via SQL injection in code generation-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-35194: Apache Flink: Remote code execution via SQL injection in code generation

1. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-35194

1. National Vulnerability Database (NVD) : CVE-2026-35194

• [2026年05月20日]
    掲載