「Apache Kyuubi」に3件の脆弱性 - 修正版が公開

「Apache Spark」などの処理エンジンを利用したSQL処理やバッチ処理のためのインターフェースを提供する「Apache Kyuubi」に3件の脆弱性が判明した。修正版が提供されており、アップデートが呼びかけられている。

開発チームは2026年7月28日、最新版「同1.12.0」をリリースした。同バージョンでは複数の脆弱性を修正している。

「CVE-2026-62391」は、「CVE-2025-66518」の修正が不完全だったことに起因し、ローカルディレクトリの許可リストを回避できる脆弱性。サーバサイドリクエストフォージェリ（SSRF）やオープンプロキシとして悪用されるおそれがある「CVE-2026-23904」が確認された。

また細工したパスにより、権限の範囲で想定外の場所へ任意の内容を書き込むことが可能となる「CVE-2026-52680」が判明している。

開発チームでは、「CVE-2026-62391」の重要度を「重要（Important）」とし、「CVE-2026-23904」「CVE-2026-52680」については「中（Moderate）」とした。

（Security NEXT - 2026/08/03 ）ツイート