JVNDB-2026-026968

Apache Software FoundationのApache NiFiにおける高圧縮データの処理 (データ増幅)に関する脆弱性

Apache NiFiのバージョン1.5.0から2.10.0にかけては、Jerseyエンコーディングフィルターを使用してアプリケーションのREST APIでgzipエンコードされたHTTPリクエストをサポートしていました。このフレームワークは、解凍後の出力ではなく圧縮されたペイロードに対して設定可能な最大リクエストサイズを強制していたため、悪意のあるクライアントが細工したリクエストを送信し、大量のメモリを消費させる可能性がありました。推奨される対策としては、Apache NiFiを2.11.0にアップグレードすることであり、これによりレスポンス圧縮をJettyサーバーに移行し、gzipエンコードされたHTTPリクエストの解凍処理を無効化します。

Apache Software Foundation

• Apache NiFi 1.5.0 以上 2.11.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-68981: Apache NiFi: Uncontrolled Resource Consumption through Decompression of HTTP Requests-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-68981: Apache NiFi: Uncontrolled Resource Consumption through Decompression of HTTP Requests

1. 高圧縮データの不適切な処理 (データ増幅)(CWE-409) [その他]

1. CVE-2026-68981

1. National Vulnerability Database (NVD) : CVE-2026-68981

• [2026年08月06日]
    掲載