Apache NiFi でパラメータコンテキストの所有権を確かめずにアセットを削除できる（NVD 9.1 とベンダ 2.3 で評価が割れている）

Critical（CVSS 9.1）に分類されるApache Software Foundation Apache NiFi（REST API のアセット削除）の脆弱性です。データフロー基盤 Apache NiFi の 2.0.0 から 2.10.0 までに、権限確認の対象を取り違える欠陥がある。NiFi はパラメータコンテキストに紐づくアセット（設定ファイルや証明書など、フローが参照する実体）を REST API で作成・読み取り・削除できる。削除のとき、フレームワークは要求に含まれるパラメータコンテキスト識別子とアセット識別子を使って、そのパラメータコンテキストに対する認可を行う。問題は、要求された識別子と保存されている識別子を突き合わせていなかった点にある。つまり、書き込み権限を持っているパラメータコンテキストの識別子を添えれば、実際には別のパラメータコンテキストが所有しているアセットを削除できてしまう。ベンダの記述はこの欠陥の成立条件をはっきり書いていて、パラメータコンテキストごとに認可の水準を分けていない NiFi では成立しない。書き込み権限そのものがセキュリティ境界として機能しているためで、全員が全パラメータコンテキストに書ける構成なら、この欠陥があってもできることは増えない。逆に言えば、部門ごと・チームごとにパラメータコンテキストの権限を分けている環境が対象である。この CVE は評価が大きく割れており、そのことを承知して読む必要がある。NVD が付けた主評価（source nvd@nist.gov）は CVSS 3.1 で 9.1 Critical、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N である。一方、CNA である Apache（security@apache.org）が付けた CVSS 4.0 は 2.3 LOW で、ベクタは AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N である。差は主に PR（必要な権限）と影響の見積もりにあり、Apache は「ある程度の権限を持つ利用者が、限定的な影響を与えられる」と見ているのに対し、NVD は権限不要かつ機密性・完全性への影響が高いと見ている。ベンダの説明にある「書き込み権限が境界として機能する」という記述からすると、PR:N（権限不要）という NVD の読みは実態から離れている可能性が高い。当サイトは掲載基準（CVSS 7.0 以上）に従って NVD の主評価 9.1 を採用して掲載するが、運用上の緊急度としてはベンダの評価のほうが実態に近い可能性がある点を明記しておく。影響範囲は NVD の cpe で apache:nifi 2.0.0 以上 2.11.0 未満。修正は 2.11.0 で、アセットの読み取り操作と同じ方式で、削除前にパラメータコンテキストによる所有権を検証するようになった。CISA KEV への収載は 2026-08-26 時点で確認できていない。

Apache NiFi を 2.11.0 以降へ更新する。ベンダはこれを推奨される緩和策として明示しており、他の回避策は示されていない。更新の緊急度を決めるには、まず自組織の NiFi がこの欠陥の成立条件に当たるかを切り分けるのが実務的である。判断はひとつで、パラメータコンテキストごとに認可の水準を分けているかどうかである。分けていないなら、書き込み権限を持つ者はもともと全アセットを削除できるので、この欠陥によって新たにできることは無い。分けているなら対象で、たとえば部門 A の担当者が部門 B のアセットを消せる状態になっている。影響は削除に限られ、読み取りや書き換えではない点も緊急度の判断材料になる。NVD のベクタが C:H（機密性への高い影響）を付けているのはこの点で説明しにくく、ベンダ側の VC:L/VI:L/VA:L という見積もりのほうが記述と整合する。更新までのあいだの手当てとしては、NiFi の REST API への到達経路を管理ネットワークに限定すること、およびアセット削除の監査ログを見ておくことが挙げられる。ただしこれは正規の権限を持つ利用者による操作なので、到達制限は内部からの悪用には効かない。NiFi は監査ログにアセットの削除を記録するので、更新前に想定外の削除が起きていないかを確認しておくとよい。

Apache Software Foundation Apache NiFi（REST API のアセット削除） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-68980）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。