Aktywnie wykorzystywana w atakach

Apache Flink Improper Access Control Vulnerability

Apache - Flink · Figuruje w katalogu CISA KEV od 2024-05-23. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

CVE-2020-17519

WysokieCVSS 7.5KEV

Opublikowano: 05/01/2021(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Zmiana wprowadzona w Apache Flink 1.11.0 pozwala atakującemu na odczyt dowolnego pliku z lokalnego systemu plików JobManagera poprzez interfejs REST. Dostęp ograniczony jest do plików, do których proces JobManagera ma uprawnienia. Problem naprawiono w wersjach 1.11.3 i 1.12.0.

Ocena ryzyka

Atakujący może odczytać poufne pliki z serwera, co może prowadzić do wycieku danych, w tym poświadczeń lub konfiguracji. Wymaga to jednak dostępu sieciowego do interfejsu REST JobManagera.

Rekomendacja

Należy jak najszybciej zaktualizować Apache Flink do wersji 1.11.3 lub 1.12.0. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp sieciowy do interfejsu REST JobManagera.

Inne podatności w Apache Flink

CVE-2026-35194Wysokie
W Apache Flink w wersjach od 1.15.0 do 1.20.x oraz 2.0.0 do 2.x występuje podatność na wstrzykiwanie kodu w generowaniu kodu SQL. Użytkownicy z uprawnieniami do przesyłania zapytań mogą wykonać dowolny kod na TaskManagers za pomocą złośliwie skonstruowanych zapytań SQL.

Oryginalny opis (angielski, źródło NVD)

A change introduced in Apache Flink 1.11.0 (and released in 1.11.1 and 1.11.2 as well) allows attackers to read any file on the local filesystem of the JobManager through the REST interface of the JobManager process. Access is restricted to files accessible by the JobManager process. All users should upgrade to Flink 1.11.3 or 1.12.0 if their Flink instance(s) are exposed. The issue was fixed in commit b561010b0ee741543c3953306037f00d7a9f0801 from apache/flink:master.