JVNDB-2026-026970

Apache Software FoundationのApache NiFiにおける認証の欠如に関する脆弱性

Apache NiFi 1.10.0から2.10.0までのバージョンは、パラメータ値を参照するコンポーネントに対して認可チェックを強制しないパラメータコンテキスト更新用REST APIメソッドを提供しています。パラメータコンテキストの更新は参照コンポーネントに影響を与えるパラメータ値を変更できますが、フレームワークの認可はパラメータコンテキスト自体の読み取りおよび書き込み権限に限定されていました。この認可の欠如により、パラメータコンテキストの変更権限を持つ認証済みユーザーが、参照コンポーネントに対する権限を持っていなくても、これらのコンポーネントに影響を与えるパラメータ値を変更できる可能性があります。パラメータ値に実行可能なスクリプトコンテンツが含まれる環境では、パラメータの更新により、参照コンポーネントを起動することなく自動コンポーネント検証中にコードが実行される可能性があります。影響は既存の検証チェックにより停止中のコンポーネントに限定され、この問題はコンポーネントレベルの認可ポリシーを使用しているデプロイメントにのみ適用されます。推奨される緩和策はApache NiFi 2.11.0へのアップグレードであり、パラメータコンテキスト更新メソッドの認可を他のメソッドと整合させ、影響を受けるコンポーネントに対して認可チェックを追加しています。

Apache Software Foundation

• Apache NiFi 1.10.0 以上 2.11.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-68979: Apache NiFi: Missing Authorization for Components Referenced by Parameter Context Updates-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-68979: Apache NiFi: Missing Authorization for Components Referenced by Parameter Context Updates

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-68979

1. National Vulnerability Database (NVD) : CVE-2026-68979

• [2026年08月06日]
    掲載