CVE-2026-40564

总结

外部方可访问的文件或目录，Apache Flink Kubernetes Operator 中的服务器端请求伪造（SSRF）漏洞。目前未对 FlinkSessionJob 的 jarURI 进行验证，以确保其指向用户拥有的文件或地址。这使具有 CR 创建权限的用户能够读取 operator Pod 文件系统中的文件，并通过 Flink 的可插拔文件系统层从任何可达的后端存储中拉取内容，再通过提交的 Flink 作业访问这些内容。此外，对于通过 http/https 地址获取内容的情况，目前 URI 方案没有白名单、没有主机检查、没有 IP 范围限制，也没有防止 URI 指向内部或链路本地地址的保护。此问题影响 Apache Flink Kubernetes Operator：从 1.3.0 到 1.15.0 之前的版本。建议用户升级到修复了该问题的 1.15.0 版本。

• CVE-2026-40564PoC

  CVE-2026-40564：通过 apache/flink-kubernetes-operator 中的 FlinkSessionJob jarURI 实现 SSRF。自包含的复现程序，可通过一条 make 命令在本地 kind 集群上运行。