「Apache Flink」にコードインジェクションの脆弱性 - 重要度「クリティカル」

ストリーミングデータ処理フレームワーク「Apache Flink」に脆弱性が明らかとなった。アップデートが提供されている。

SQLのコード生成処理における文字列のエスケープ処理に不備があり、コードインジェクションが可能となる脆弱性「CVE-2026-35194」が判明したもの。開発チームは、脆弱性の重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

JSON関数の処理や「ESCAPE句」をともなうLIKE式が影響を受ける。脆弱性を悪用するには認証済みでクエリ送信の権限が必要だが、細工したSQLクエリにより、「TaskManager」上で任意のコードを実行されるおそれがある。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.1」、重要度を2番目に高い「高（High）」と評価している。

開発チームでは、「Apache Flink 2.2.1」「同2.1.2」「同2.0.2」「同1.20.4」をリリースし、同脆弱性を修正した。

（Security NEXT - 2026/05/18 ）ツイート