JVNDB-2026-026969

Apache Software FoundationのApache NiFiにおける不正な認証に関する脆弱性

Apache NiFi 2.0.0から2.10.0までは、REST APIを通じてパラメータコンテキストに関連付けられたアセットの作成、読み取り、および削除がサポートされています。フレームワークは、提供されたパラメータコンテキスト識別子とアセット識別子を使用して、所有するパラメータコンテキストに対するアセットの削除を認可します。フレームワークは提供されたパラメータコンテキスト識別子に基づいて認可を行っていましたが、要求された識別子と保存された識別子の照合を行っていませんでした。パラメータコンテキスト間で異なるレベルの認可を実装していないApache NiFiインストールはこの脆弱性の対象外です。これは、フレームワークが書き込み権限をセキュリティ境界として強制しているためです。推奨される緩和策はApache NiFi 2.11.0へのアップグレードであり、削除前に要求されたアセットのパラメータコンテキスト所有権を検証し、アセットの読み取り操作に適用されているのと同じ戦略を用いています。

Apache Software Foundation

• Apache NiFi 2.0.0 以上 2.11.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-68980: Apache NiFi: Authorization Bypass for Parameter Context Asset Deletion-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-68980: Apache NiFi: Authorization Bypass for Parameter Context Asset Deletion

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-68980

1. National Vulnerability Database (NVD) : CVE-2026-68980

• [2026年08月06日]
    掲載