JVNDB-2026-027726

Apache Software FoundationのZeppelinにおけるパストラバーサルの脆弱性

Apache Zeppelinのパストラバーサル脆弱性について説明します。FileSystemNotebookRepoが設定されている場合、ノートの名前変更権限を持つ認証済み攻撃者、またはフォルダ操作へのアクセス権を持つ攻撃者は、ノートやフォルダのパスにトラバーサルセグメントを供給する可能性があります。Zeppelinはこれらの値をサーバーのファイルシステムまたはHadoopのIDを用いてファイルシステムパスに組み込みますが、その結果が設定されたノートブックディレクトリの下にとどまっているかを確認しませんでした。これにより、ノートブックのルート外でノートブックのファイルやディレクトリの移動、書き込み、削除が可能になる可能性があります。この問題はApache Zeppelinのバージョン0.9.0から0.12.0に影響を及ぼします。ユーザーはこの問題を修正したバージョン0.12.1へアップグレードすることを推奨します。

Apache Software Foundation

• Zeppelin 0.9.0 以上 0.12.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-44615: Apache Zeppelin: Path traversal in NotebookRepo note and folder path composition-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-44615: Apache Zeppelin: Path traversal in NotebookRepo note and folder path composition

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-44615

1. National Vulnerability Database (NVD) : CVE-2026-44615
2. 関連文書 : [MINOR] Reject traversal segments in note and folder paths by jongyoul  Pull Request #5248  apache/zeppelin  GitHub
3. 関連文書 : [MINOR] Reject traversal segments in note and folder paths by jongyoul  Pull Request #5227  apache/zeppelin  GitHub

• [2026年08月12日]
    掲載