Apache NiFiの脆弱性、セキュリティ回避とメモリ破損を招く恐れ

Apache NiFiは、同社のWeb APIに影響する4件の脆弱性についてセキュリティ勧告を発表しました。これらには、Parameter Contextアセットの不正削除を許してしまう認可回避の脆弱性や、特別に細工されたgzip圧縮HTTPリクエストによって過剰なメモリ消費を引き起こす深刻度の高い問題が含まれています。

セキュリティ製品とサービス

今回の脆弱性が影響するApache NiFiのバージョンは、問題の内容によってバージョン1.5.0から2.10.0までの範囲に及びます。Apacheは、検証と認可の機能を強化し、gzipエンコードされたREST APIリクエストの解凍を無効化したバージョン2.11.0へのアップグレードを推奨しています。

最も深刻な脆弱性はCVE-2026-68981として追跡されており、NiFiがgzipエンコードされたHTTPリクエストを処理する方法に起因しています。NiFiのJerseyエンコーディングフィルターは、設定された最大リクエストサイズの制限を、解凍後の出力ではなく圧縮されたリクエスト本体に対して誤って適用していました。

この脆弱性により、攻撃者は比較的小さいながらも高い圧縮率を持つリクエストを送信することで、解凍後に大幅にサイズが膨れ上がる状況を作り出し、サーバーのメモリを過剰に消費させてAPIの可用性を妨げる可能性があります。

バージョン2.11.0では、レスポンス圧縮の処理をJetty Serverに移管し、gzipエンコードされたHTTPリクエストの解凍を無効化することでこの問題を解決しています。この脆弱性は、mak3bread(Minseong Kim)という人物によって報告されました。

残る3件の脆弱性は、Parameter Context操作における認可の実施に関連するものです。Parameter Contextは、接続されたプロセッサーやその他のNiFiコンポーネントに影響を与えうる、再利用可能な設定値を格納します。

コンポーネント単位できめ細かな権限管理を行っている環境では、これらの欠陥によってユーザーが本来想定されているアクセス範囲を超えてしまう可能性があります。

Apache NiFiの脆弱性一覧

• CVE-2026-68981-深刻度「高」:HTTPリクエストの解凍処理における未制御のリソース消費で、バージョン1.5.0から2.10.0までのNiFiに影響。細工されたgzipリクエストによって圧縮ペイロードのサイズ制限を回避でき、解凍後に過剰なメモリを消費させることが可能。NIFI-16152として追跡、2026年7月28日に報告。
• CVE-2026-62354-深刻度「高」:Parameter Context検証リクエストにおける不適切な認可で、バージョン1.10.0から2.10.0までのNiFiに影響。読み取り権限を持つユーザーが、検証用のParameter値を提案として送信でき、事前定義されたコンポーネント検証の際に現在の設定値を上書きできてしまう。読み取り権限と変更権限が分離されていない環境ではこの問題は該当しない。NIFI-16112として追跡、2026年7月8日に報告。
• CVE-2026-68979-深刻度「中」:Parameter Contextの更新によって参照されるコンポーネントに対する認可チェックの欠如で、バージョン1.10.0から2.10.0までのNiFiに影響。Parameter Contextの変更を認可された認証済みユーザーが、本来アクセス権限を持たないコンポーネントに影響を与えるパラメータ値を変更できてしまう。パラメータに実行可能なスクリプトコンテンツが含まれる環境では、停止中のコンポーネントの自動検証時にコード実行につながる可能性がある。NIFI-16148として追跡、2026年7月22日に報告。
• CVE-2026-68980-深刻度「低」:Parameter Contextアセット削除における認可回避で、バージョン2.0.0から2.10.0までのNiFiに影響。NiFiは、要求されたアセットがそのコンテキストに属しているかどうかを確認せず、指定されたParameter ContextのIDのみに基づいて削除を認可していた。この欠陥は、Parameter Context間で異なる認可レベルが適用されている環境でのみ重大な問題となる。NIFI-16154として追跡、2026年7月27日に報告。

各組織には、外部に露出しているNiFiのREST APIを特定し、Parameter Contextの権限設定を見直した上で、パッチが適用されるまでは信頼できる管理者のみにアクセスを制限することが推奨されます。

さらに、各チームは、不審な圧縮HTTPリクエスト、予期しないアセットの削除、そして不正なParameter Contextの検証・更新活動がないか、ログを監視すべきです。

警告:20以上の政府系サイトが企業や市民にマルウェアを配布していました。 攻撃に関する詳細な調査結果を確認し、ご自身の組織の露出状況をチェックしてください。