| タイトル | Apache Software FoundationのApache Flinkにおけるコードインジェクションの脆弱性 |
|---|---|
| 概要 | Apache Flink 1.15.0から1.20.xおよび2.0.0から2.xにおいて、SQLコード生成時のコードインジェクションにより、クエリ送信権限を持つ認証済みユーザーが悪意のあるSQLクエリを介してTaskManager上で任意のコードを実行できる脆弱性があります。この脆弱性は、JSON関数（1.15.0以降）およびESCAPE句を含むLIKE式（1.17.0以降）に影響します。ユーザーが制御する文字列が適切なエスケープ処理をされずに生成されたJavaコードに埋め込まれるため、攻撃者は文字列リテラルを抜け出して任意の式を注入できます。ユーザーはこの問題を修正したバージョン1.20.4、2.0.2、2.1.2または2.2.1にアップグレードすることを推奨します。 |
| 想定される影響 | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月15日0:00 |
| 登録日 | 2026年5月20日13:20 |
| 最終更新日 | 2026年5月20日13:20 |
| CVSS3.0 : 重要 | |
| スコア | 8.1 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| Apache Software Foundation |
| Apache Flink 1.15.0 以上 1.20.4 未満 |
| Apache Flink 2.0.0 以上 2.0.2 未満 |
| Apache Flink 2.1.0 以上 2.1.2 未満 |
| Apache Flink 2.2.0 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月20日] 掲載 |
2026年5月20日13:20 |
| 概要 | Code injection in SQL code generation in Apache Flink 1.15.0 through 1.20.x and 2.0.0 through 2.x allows authenticated users with query submission privileges to execute arbitrary code on TaskManagers via maliciously crafted SQL queries. The vulnerability affects JSON functions (1.15.0+) and LIKE expressions with ESCAPE clauses (1.17.0+). User-controlled strings are interpolated into generated Java code without proper escaping, allowing attackers to break out of string literals and inject arbitrary expressions. Users are recommended to upgrade to either version 1.20.4, 2.0.2, 2.1.2 or 2.2.1, which fixes this issue. |
|---|---|
| 公表日 | 2026年5月16日1:16 |
| 登録日 | 2026年5月17日4:12 |
| 最終更新日 | 2026年5月19日2:44 |