JVNDB-2026-020953

Apache Software FoundationのApache NiFiにおける同一生成元ポリシー違反に関する脆弱性

Apache NiFi 0.0.1から2.9.0までは、標準のHostヘッダーに代わる複数のHTTPリクエストヘッダーのいずれかから修飾URLを構築することをサポートしていましたが、提供された値の検証は行われていませんでした。Apache NiFi 1.6.0では、HTTP Hostヘッダーに提供される値を制限する設定可能なアプリケーションプロパティが導入されましたが、代替のProxyおよびForwardedヘッダーにはこの検証が適用されていませんでした。プロキシホストヘッダーの検証が欠如していたため、クライアントはApache NiFiのウェブサービスに対して無効な修飾URLをリダイレクトやデータ参照のために構築させることができました。推奨される緩和策はApache NiFi 2.10.0へのアップグレードであり、これはnifi.web.proxy.hostプロパティに基づいてX-ProxyHostおよびX-Forwarded-Host HTTPリクエストヘッダーに対する検証を実装しています。ヘッダー検証を有効にするには、HTTPSでアプリケーションを構成する必要があります。Apache NiFiの前に配置されたリバースプロキシサーバーは、入力リクエストヘッダーをフィルタリングし、アプリケーションに許可された値を提供する役割を担います。

Apache Software Foundation

• Apache NiFi 0.0.1 以上 2.10.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-54665: Apache NiFi: Missing Validation for Proxy Host Headers-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-54665: Apache NiFi: Missing Validation for Proxy Host Headers

1. 同一生成元ポリシー違反(CWE-346) [その他]

1. CVE-2026-54665

1. National Vulnerability Database (NVD) : CVE-2026-54665

• [2026年06月26日]
    掲載