Apache NiFiは、そのWeb APIに関する4件のセキュリティ脆弱性を公表しました。認可バイパスの欠陥に加え、リモートコード実行につながる可能性のある経路、そしてgzip圧縮されたRESTリクエストに関連するリソース枯渇の問題が含まれています。
影響を受けるApache NiFiリリースを稼働させている組織は、報告されたすべての問題に対応済みのバージョン2.11.0へアップグレードする必要があります。
最も深刻な問題はCVE-2026-68981（NIFI-16152）として追跡されており、NiFiバージョン1.5.0から2.10.0までに影響します。この脆弱性は、アプリケーションのREST APIがgzipエンコードされたHTTPリクエストを処理する方法に起因しています。
NiFiはこれまで、完全に展開されたコンテンツではなく圧縮されたペイロードに対して、設定された最大リクエストサイズを適用するJerseyエンコーディングフィルタに依存していました。
攻撃者は、展開後に大幅に膨張する小さなgzip圧縮リクエストを作成することで、NiFiサーバーに過剰なメモリ割り当てを強制できる可能性があります。
悪用に成功すると、特にREST APIが信頼できない、あるいは十分に制限されていないクライアントに公開されている場合、リソース枯渇とサービス障害を引き起こす恐れがあります。
Apache NiFi 2.11.0は、レスポンス圧縮をJetty Serverへ移行し、gzipエンコードされたHTTPリクエストの解凍を無効化することでこの問題を緩和しています。
2つ目の深刻度の高い脆弱性はCVE-2026-62354（NIFI-16112）で、NiFiバージョン1.10.0から2.10.0までに影響します。これは、Parameter Contextの検証リクエストに関する認可に関わるものです。
バージョン2.11.0より前では、Parameter Contextへの読み取り専用アクセス権を持つユーザーが、検証リクエストの一部として提案するParameter値を送信できました。
これらの提供値は検証中に既存の設定を上書きできてしまうため、読み取り権限のみを持つユーザーが、攻撃者が制御する設定を使って事前定義済みのコンポーネント検証メソッドを呼び出せる状態でした。
この欠陥は、Parameter Contextの設定について閲覧と変更に異なる権限を課している展開環境で特に重大な意味を持ちます。
バージョン2.11.0は、クライアントがParameter Contextの検証リクエストを送信する前に書き込み権限を要求するよう認可モデルを修正しています。この問題はMBBankのNguyen Van Hiep氏が発見しました。
Apacheはまた、特定の展開条件下でコード実行につながりうる中程度の深刻度の認可問題であるCVE-2026-68979（NIFI-16148）にも対応しました。
NiFiのParameter Context更新APIは、更新されたParameter値を参照するコンポーネントに対する認可チェックを行っていませんでした。Parameter Contextの変更は許可されているものの、影響を受けるコンポーネント自体への変更は許可されていない認証済みユーザーでも、それらのコンポーネントが使用する値を変更できる状態でした。
コンポーネント単位の認可を使用する環境では、Parameterに実行可能なスクリプトの内容が含まれている場合に、この問題が特に深刻になる可能性があります。
Parameterを更新すると、対象のコンポーネントが起動していなくても、自動的なコンポーネント検証中にコード実行が引き起こされる場合があります。
既存の検証チェックにより、影響範囲は停止中のコンポーネントに限定されています。NiFi 2.11.0は現在、影響を受ける参照コンポーネントに対して認可チェックを実施するようになりました。
最後に、CVE-2026-68980（NIFI-16154）はNiFi 2.0.0から2.10.0までに影響し、Parameter Context Assetの不正な削除を許してしまいます。NiFiは、提供されたParameter Context識別子がAssetの保存済み所有者と一致するかを確認せずに、削除を認可していました。
これにより、Parameter Contextが異なる認可レベルの対象となっている環境で、不正なAsset削除が行われる可能性があります。
管理者は、Apache NiFi 2.11.0へのアップグレードを最優先で進めるとともに、コンポーネント単位およびParameter Context単位の認可ポリシーを見直し、REST APIへのアクセスを信頼できるネットワークと認証済みユーザーに制限することが求められます。
ANY.RUNでSOC調査の死角を減らし、脅威をより早期に封じ込めることで対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/apache-nifi-vulnerabilities/
