最近の脆弱性 › CVE-2020-17519

Apache Flink の脆弱性（CVE-2020-17519）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2020-17519
製品	Apache Flink
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2024-05-23
米国政府機関の対応期限	2024-06-13
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-552

何が起きた

大量のデータを処理するソフト Apache Flink で、JobManager という管理役のプロセスの REST インターフェースを通して、サーバー上の任意の（攻撃者が好きに選べる）ファイルを読み取れてしまう弱点が見つかりました。読み取れるのは、JobManager のプロセスが読めるファイルに限られます。ネットワーク経由で、ログインしていない攻撃者でも悪用できます。この弱点は実際の攻撃で悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache Flink の 1.11.0、1.11.1、1.11.2 を使っている組織が対象です。この問題は 1.11.0 で入った変更が原因です。

何をすればいい

Apache Flink の開発元は、Flink を外から接続できる状態で使っている場合は、1.11.3 または 1.12.0 に更新するよう案内しています。使っている Flink のバージョンを確認し、これらのバージョン以降に更新されているか確認してください。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

Flink のバージョンが 1.11.0〜1.11.2 か調べる
Flink を 1.11.3 または 1.12.0 以降に更新する
外から接続できる Flink を優先して更新する

用語メモ

REST インターフェース: Web の通信の決まりを使って、外からプログラムに処理を頼んだり情報を受け取ったりするための窓口です。
JobManager: Apache Flink で、仕事の割り振りや全体の管理をする中心のプロセスです。

元データ（英語・CISA KEV より）

Apache Flink Improper Access Control Vulnerability

概要

Apache Flink contains an improper access control vulnerability that allows an attacker to read any file on the local filesystem of the JobManager through its REST interface.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.