CVE-2026-40564

概要

外部の関係者がアクセス可能なファイルまたはディレクトリ、Apache Flink Kubernetes Operator におけるサーバーサイド・リクエスト・フォージェリ (SSRF) の脆弱性。FlinkSessionJob の jarURI は現在検証されておらず、ユーザー所有のファイルやアドレスを指す可能性があります。これにより、CR 作成権限を持つユーザーが operator ポッドのファイルシステムからファイルを読み取り、Flink のプラグイン可能なファイルシステム層を介して到達可能な任意のバッキングストアからコンテンツを取得し、送信された Flink ジョブを通じてそれらにアクセスできるようになります。さらに、http/https アドレスからの取得に関しては、現在 URI スキームの許可リストがなく、ホストチェックもなく、IP 範囲の制限もなく、内部アドレスやリンクローカルアドレスに URI を向けることに対する保護もありません。この問題は Apache Flink Kubernetes Operator の 1.3.0 から 1.15.0 未満に影響します。ユーザーはこの問題を修正したバージョン 1.15.0 にアップグレードすることを推奨されます。

• CVE-2026-40564PoC

  CVE-2026-40564: apache/flink-kubernetes-operator の FlinkSessionJob jarURI を介した SSRF。1つの make コマンドでローカルの kind クラスター上で実行できる自己完結型の再現ツールです。