JVNDB-2026-020762

Apache Software FoundationのApache NiFiにおける認証の欠如に関する脆弱性

Apache NiFiのバージョン1.12.0から2.9.0まででは、Restrictedアノテーションに基づく特定の必要な権限を持つ拡張コンポーネントを含むプロセスグループを置き換える際に認可が欠如していました。Restrictedアノテーションは追加の権限を必要とすることを示しますが、フレームワークの認可機構はプロセスグループの置き換えリクエストを処理する際にRestricted状態の確認を行っていませんでした。この認可の欠如により、一般的な書き込みアクセス権を持つユーザーがRestricted状態のコンポーネントを追加できる状況となっていました。Restrictedコンポーネントに対して特定の認可を実装していないApache NiFiのインストールは、この脆弱性の影響を受けません。なぜなら、フレームワークが書き込み権限をセキュリティ境界として強制しているためです。推奨される対策はApache NiFiをバージョン2.9.0へアップグレードすることであり、これによりフレームワークからRestricted状態の認可実装が削除されます。

Apache Software Foundation

• Apache NiFi 1.12.0 以上 2.10.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-44914: Apache NiFi: Missing Authorization of Restricted Permissions when Replacing Flow Contents-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-44914: Apache NiFi: Missing Authorization of Restricted Permissions when Replacing Flow Contents

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-44914

1. National Vulnerability Database (NVD) : CVE-2026-44914

• [2026年06月26日]
    掲載