| Title | Apache Software FoundationのApache Flinkにおけるコードインジェクションの脆弱性 |
|---|---|
| Summary | Apache Flink 1.15.0から1.20.xおよび2.0.0から2.xにおいて、SQLコード生成時のコードインジェクションにより、クエリ送信権限を持つ認証済みユーザーが悪意のあるSQLクエリを介してTaskManager上で任意のコードを実行できる脆弱性があります。この脆弱性は、JSON関数（1.15.0以降）およびESCAPE句を含むLIKE式（1.17.0以降）に影響します。ユーザーが制御する文字列が適切なエスケープ処理をされずに生成されたJavaコードに埋め込まれるため、攻撃者は文字列リテラルを抜け出して任意の式を注入できます。ユーザーはこの問題を修正したバージョン1.20.4、2.0.2、2.1.2または2.2.1にアップグレードすることを推奨します。 |
| Possible impacts | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 15, 2026, midnight |
| Registration Date | May 20, 2026, 1:20 p.m. |
| Last Update | May 20, 2026, 1:20 p.m. |
| CVSS3.0 : 重要 | |
| Score | 8.1 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| Apache Software Foundation |
| Apache Flink 1.15.0 以上 1.20.4 未満 |
| Apache Flink 2.0.0 以上 2.0.2 未満 |
| Apache Flink 2.1.0 以上 2.1.2 未満 |
| Apache Flink 2.2.0 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月20日] 掲載 |
May 20, 2026, 1:20 p.m. |
| Summary | Code injection in SQL code generation in Apache Flink 1.15.0 through 1.20.x and 2.0.0 through 2.x allows authenticated users with query submission privileges to execute arbitrary code on TaskManagers via maliciously crafted SQL queries. The vulnerability affects JSON functions (1.15.0+) and LIKE expressions with ESCAPE clauses (1.17.0+). User-controlled strings are interpolated into generated Java code without proper escaping, allowing attackers to break out of string literals and inject arbitrary expressions. Users are recommended to upgrade to either version 1.20.4, 2.0.2, 2.1.2 or 2.2.1, which fixes this issue. |
|---|---|
| Publication Date | May 16, 2026, 1:16 a.m. |
| Registration Date | May 17, 2026, 4:12 a.m. |
| Last Update | May 19, 2026, 2:44 a.m. |