CVE-2020-17519とは？Apache Flinkの脆弱性をわかりやすく解説

ひとことでApache Flink で、外からサーバー内のファイルを読み取られるおそれがある弱点です。
深刻度7.5 重要CVSS v3.1
まずやることFlink のバージョンが 1.11.0〜1.11.2 か調べる

基本情報（データから表示）

CVE番号	CVE-2020-17519
製品	Apache Flink
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2024-05-23
米国政府機関の対応期限	2024-06-13
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-552（外部からアクセスできるファイルやディレクトリ）

何が起きた

大量のデータを処理するソフト Apache Flink で、JobManager という管理役のプロセスの REST インターフェースを通して、サーバー上の任意の（攻撃者が好きに選べる）ファイルを読み取れてしまう弱点が見つかりました。読み取れるのは、JobManager のプロセスが読めるファイルに限られます。ネットワーク経由で、ログインしていない攻撃者でも悪用できます。この弱点は実際の攻撃で悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache Flink の 1.11.0、1.11.1、1.11.2 を使っている組織が対象です。この問題は 1.11.0 で入った変更が原因です。

何をすればいい

Apache Flink の開発元は、Flink を外から接続できる状態で使っている場合は、1.11.3 または 1.12.0 に更新するよう案内しています。使っている Flink のバージョンを確認し、これらのバージョン以降に更新されているか確認してください。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

Flink のバージョンが 1.11.0〜1.11.2 か調べる
Flink を 1.11.3 または 1.12.0 以降に更新する
外から接続できる Flink を優先して更新する

用語メモ

REST インターフェース: Web の通信の決まりを使って、外からプログラムに処理を頼んだり情報を受け取ったりするための窓口です。
JobManager: Apache Flink で、仕事の割り振りや全体の管理をする中心のプロセスです。

次に読む

同じ製品・メーカーの脆弱性Apache Struts（CVE-2016-3081）8.1 重要CVSS v3.1Apache Strutsで、ある機能が有効なときに遠隔から任意のコードを実行される弱点です。同じ製品・メーカーの脆弱性Apache Tomcat（CVE-2026-34486）7.5 重要CVSS v3.1Apache Tomcatで、別の弱点の修正の誤りから、EncryptInterceptorの暗号をすり抜けられる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apache Flink Improper Access Control Vulnerability

概要

Apache Flink contains an improper access control vulnerability that allows an attacker to read any file on the local filesystem of the JobManager through its REST interface.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Apache Flink の脆弱性（CVE-2020-17519）