Trusted Design

CVE-2020-17519 の詳細

CVEの情報

説明:
A change introduced in Apache Flink 1.11.0 (and released in 1.11.1 and 1.11.2 as well) allows attackers to read any file on the local filesystem of the JobManager through the REST interface of the JobManager process. Access is restricted to files accessible by the JobManager process. All users should upgrade to Flink 1.11.3 or 1.12.0 if their Flink instance(s) are exposed. The issue was fixed in commit b561010b0ee741543c3953306037f00d7a9f0801 from apache/flink:master.

CVE更新日: 2021-01-05 12:15:12.680000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2024-05-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.978090000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-17519について、以下の観点で解説します。

1. 脆弱性の概要

Apache Flinkにおけるディレクトリトラバーサル（Path Traversal）の脆弱性です。Apache Flink 1.11.0で導入された変更に起因し、1.11.1および1.11.2のバージョンにも存在します。攻撃者はJobManagerプロセスのRESTインターフェースを通じて、JobManagerのローカルファイルシステム上の任意のファイルを読み取ることが可能です。 アクセスはJobManagerプロセスがアクセスできるファイルに限定されます。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に追加しており、実際に悪用されていることが示されています。

1.1 影響

認証されていないリモートの攻撃者が、特別に細工されたディレクトリトラバーサルリクエストを送信することで、JobManagerのローカルファイルシステム上の任意のファイルを読み取ることができ、機密情報への不正アクセスにつながる可能性があります。

1.2 深刻度

  • CVSS v3.1 スコア: 7.5 (High)
  • CVSS ベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
    • AV:N (Attack Vector: Network): ネットワーク経由で悪用可能です。
    • AC:L (Attack Complexity: Low): 攻撃の複雑さは低いです。
    • PR:N (Privileges Required: None): 攻撃に特権は必要ありません。
    • UI:N (User Interaction: None): ユーザーの操作は必要ありません。
    • S:U (Scope: Unchanged): 影響範囲は変わりません。
    • C:H (Confidentiality Impact: High): 機密性への影響は高いです（任意のファイルが読み取られるため）。
    • I:N (Integrity Impact: None): 完全性への影響はありません。
    • A:N (Availability Impact: None): 可用性への影響はありません。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンではなく、Apache Flinkの以下のバージョンが影響を受けます。

  • Apache Flink 1.11.0
  • Apache Flink 1.11.1
  • Apache Flink 1.11.2

2.2 影響を受ける設定

  • Apache Flinkインスタンスが外部に公開されている場合（特にJobManagerのRESTインターフェースが公開されている場合）に影響を受けます。

3. 影響を受けた時の兆候

この脆弱性は任意のファイル読み取りを可能にするため、直接的なシステムのクラッシュや異常動作といった明確な兆候は少ない可能性があります。しかし、以下のような兆候が考えられます。

  • JobManagerのREST APIへの不審なアクセスログ。
  • 通常アクセスされないはずのファイルに対するJobManagerプロセスからの不審なアクセスログ。

4. 推奨対策

4.1 本対策

  • Apache Flinkのアップグレード:
    • Apache Flinkをバージョン1.11.3以降、またはバージョン1.12.0以降 にアップグレードしてください。
    • この問題はコミットb561010b0ee741543c3953306037f00d7a9f0801で修正されています。

4.2 暫定回避策（緩和策）

  • アクセス制限: JobManagerプロセスのRESTインターフェースへのアクセスを、信頼できるユーザーのみに制限してください。
  • ネットワーク分離: JobManagerインターフェースを、必要のないネットワークから切り離してください。
  • ネットワークセキュリティ対策: ファイアウォールやVPNなどのネットワークセキュリティ対策を実装してください。
  • ファイルアクセス制限: JobManagerプロセスがアクセスできるファイルの種類を制限することを検討してください（可能な場合）。
  • ログ監査: ファイルシステムアクセスログを定期的に監査してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る