Apache NiFi パラメータコンテキスト更新が参照コンポーネントの認可を検査しない（NVD 9.8 / Apache 判定は Medium）

Critical（CVSS 9.8）に分類されるApache Software Foundation Apache NiFi 1.10.0〜2.10.0（nifi-web-api）の脆弱性です。Apache NiFi のパラメータコンテキスト更新 REST API が、そのパラメータを参照しているコンポーネント側の認可を検査していない。Apache の公式アドバイザリ（2026-08-03・oss-security へ投稿、報告者 D0HY30N）によれば、フレームワークの認可はパラメータコンテキスト自体に対する read / write 権限だけを見ており、そのパラメータ値を使っているコンポーネントに対する権限は確認していなかった。このためパラメータコンテキストの変更権限だけを持つ認証済みユーザーが、自分に権限の無いコンポーネントの挙動をパラメータ値の書き換えを通じて変えられる。さらに、パラメータ値に実行可能なスクリプトが入る構成では、コンポーネントを起動しなくても自動検証（automatic component validation）の段階でコードが実行されうる。影響は既存の検証機構により停止中のコンポーネントに限定され、また問題が成立するのはコンポーネント単位の認可ポリシーを使っている構成だけである。対象は 1.10.0 から 2.10.0 までで、修正版は 2.11.0。2.11.0 ではパラメータコンテキスト更新の認可が他のメソッドと揃えられ、影響を受けるコンポーネントへの認可検査が追加された。 深刻度の評価が採番元と NVD で大きく食い違っている点に注意が要る。Apache（security@apache.org）は CVSS 4.0 で 5.9 Medium と評価し、ベクタは PR:H（高い権限が必要）である。一方 NVD は Primary として CVSS 3.1 で 9.8 Critical、ベクタは PR:N（権限不要）としている。実際のアドバイザリ本文は「認証済みユーザー」かつ「パラメータコンテキストの変更権限を持つ」ことを前提としているので、条件の記述としては Apache の PR:H のほうが本文と整合する。本サイトは方針として NVD の Primary 評価を数値として採用しているが、この件は数値をそのまま危険度として読むと過大評価になる。CISA の KEV には本稿の確認時点（2026-08-24・カタログ 2026.08.21）で収載されていない。 同じ日に公開された CVE-2026-68980（パラメータコンテキストのアセット削除における認可回避・対象 2.0.0〜2.10.0・Apache 判定 Low）も修正版は同じ 2.11.0 である。

対応は、（1）NiFi を使っているか・バージョンはいくつか、（2）コンポーネント単位の認可ポリシーを使っているか、（3）パラメータにスクリプトを入れているか、の3点を確認してから決める。 まずバージョンである。対象は 1.10.0 以上 2.11.0 未満で、これは 2019 年以降のほぼ全系列にあたる。NiFi の UI 右上のメニュー、または nifi.properties と同じディレクトリの docs か、起動ログの先頭でバージョンを確認する。 次に構成である。アドバイザリは「コンポーネント単位の認可ポリシーを使っている配備だけが対象」と明記している。単一利用者しかいない環境、あるいは全員が同じ権限を持つ環境では、そもそも「パラメータコンテキストは変更できるがコンポーネントには権限が無い」という状態が作れないので成立しない。逆に、部門ごとにフローの権限を分けている環境は直撃する。NiFi の Policies 画面で、パラメータコンテキストとプロセッサに別々のポリシーを当てているかを見る。 三つ目が影響の大きさである。コード実行まで至るのは「パラメータ値に実行可能なスクリプトが入る」構成に限られる。ExecuteScript や ScriptedTransformRecord のようにスクリプト本体をプロパティで受け取るプロセッサへ、パラメータ経由で値を渡している箇所があるかを洗う。ここが無ければ、影響はパラメータ値の書き換えによる挙動改変にとどまる。 更新は 2.11.0 以降へ上げる。1.x 系に留まっている場合、2.11.0 は 2.x 系なので移行そのものが要る。すぐに上げられないときの緩和策はベンダーから提示されていないが、条件から導ける当面の措置としては、パラメータコンテキストの変更権限を、その参照先コンポーネントにも権限を持つ利用者だけに絞ることが挙げられる。これは公式の workaround ではなく、成立条件を潰す運用である。 完了条件は、（1）全 NiFi インスタンスが 2.11.0 以降であること、または（2）コンポーネント単位の認可ポリシーを使っていないことを Policies 画面で確認済みであること。（1）を満たすまでは（2）の確認結果を根拠として残しておく。

Apache Software Foundation Apache NiFi 1.10.0〜2.10.0（nifi-web-api） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-68979）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。