Apache NiFi ユーザーは、CVE-2026-25903 として追跡される高度な重大度の認可回避脆弱性の開示に続いて、直ちにアップグレードする必要があります。2026年2月16日に公開されたこの欠陥は、バージョン 1.1.0 から 2.7.2 に影響します。
これにより、権限が低い認証されたユーザーが、より高い権限を持つ管理者によってフローに追加された「制限付き」拡張コンポーネントの設定プロパティを変更することができます。階層化されたアクセス権限環境では、これにより重要なセキュリティ制御が弱まります。
NiFi は Restricted アノテーションに依存して、機密コンポーネントの追加の特権を強制します。これらのコンポーネントはしばしば、オペレーティングシステムとやり取りし、コードを実行し、外部サービスにアクセスするか、管理者が厳しく制御する他の高リスク操作を実行します。
この脆弱性は、これらのコンポーネント上のプロパティ更新中に認可チェックが欠落していることに由来します。
制限されたコンポーネントの追加には昇格された権限が必要ですが、フレームワークは後の更新中に制限付きステータスの再検証をスキップします。
追加権限を持たないユーザーは、既存のコンポーネント上のプロパティを変更し、認可を完全に回避することができます。
これにより、制限されたコンポーネントがスクリプト実行やシステムコールなどの機密操作を処理するフローで特権昇格パスが作成されます。
すべてのセットアップが同等のリスクに直面しているわけではありません。制限されたコンポーネントに対して区別された認可なしのデプロイメントは安全なままです。標準の書き込み権限が主な境界を提供するためです。
ただし、オペレーターによるフロー編集を許可しながら制限されたコントロールを管理者向けに予約するなど、ロールベースのアクセスを使用している組織は、実際の特権境界違反に直面しています。
攻撃者は、データを流出させるため、悪意のあるロジックを注入するため、または分離を低下させるためにコンポーネントを再構成できます。
暫定的なステップとして、フロー変更のアクセスポリシーを確認し、コンポーネント変更の監査を有効にし、低権限ロールが制限された설定を変更できないことをテストしてください。2026年1月以来の不正なプロパティ調整がないかデプロイメントをスキャンしてください。
この問題は、NiFi などのデータフロープラットフォームでのより広いリスクを強調しており、きめ細かいアクセス権限がゼロトラスト モデルを支えています。
エンタープライズ、クラウド環境、IoT セットアップ内のデータ処理パイプラインは、多くの場合、そのようなコントロールに依存しています。
迅速なパッチ適用は、特に最近報告されたパストラバーサルや DoS ベクトルなどの他の NiFi 欠陥と並んで、エクスプロイテーションチェーンを防止します。
翻訳元: https://cyberpress.org/critical-apache-nifi-vulnerabilities-enable-authorization-bypass/