Apache NiFi の脆弱性 CVE-2026-25903 が FIX：認可チェック不備によるシステム・コマンド実行の恐れ

Apache NiFi Vulnerability Enables Authorization Bypass

2026/02/17 CyberSecurityNews — Apache が公表したのは、NiFi に存在する深刻度 High の脆弱性 CVE-2026-25903 に関する情報である。この脆弱性の悪用は、低権限のユーザーであっても可能であり、認可バイパスを引き起こし、Restricted と注釈 (アノテーション) されたコンポーネントを変更する可能性が生じる。この脆弱性の影響が及ぶ範囲は、Apache NiFi バージョン 1.1.0 〜 2.7.2 であり、修正バージョンは 2.8.0 として提供されている。

この問題は、Restricted コンポーネントとして注釈が付与されたエクステンション・コンポーネントの設定プロパティを更新する際に、認可チェックが欠如していることに起因すると、Apache NiFi のセキュリティ・アドバイザリには記されている。

Restricted コンポーネントとは、データフロー構成への追加時に権限を必要とするものであり、信頼されたユーザーのみが機密性の高い処理ロジックを変更できるよう設計されている。

CVE IDDescriptionAffected VersionsSeverity
CVE-2026-25903Missing authorization checks in Apache NiFi allow low-privileged users to modify restricted components.1.1.0–2.7.2High

しかし、このフレームワークの認可モデルに欠陥が存在することで、特権ユーザーが Restricted コンポーネントを追加した後であっても、低権限のユーザーが適切な検証なしに、設定パラメータを変更できる状態にあった。

それにより、低権限ユーザーに NiFi ワークフロー内の機微な操作や処理ロジックを改変する、意図しないアクセス権が付与されていた。したがって、この設計上の欠陥を突く攻撃者は、意図されたパーミッション／境界を実質的に回避できる。

この脆弱性を悪用する攻撃者は、データフロー設定の改竄／危険なシステム・コマンドの実行／Restricted コンポーネントに依存するプロセス・ロジックの変更などを行えるようになる。

この脆弱性は David Handermann により責任ある形で報告され、Apache Project Management Committee の CVSS 評価により High と分類された。NiFi チームが強調するのは、認可レベルの実装方法により悪用リスクが生じる点である。

つまり、Restricted コンポーネントに明確な権限レベルを設定していないインストール環境と比較して、認可レベルを導入している環境では影響が変動する可能性がある。その一方で、適切な権限制御を前提とした環境では、設計上の信頼境界が前提となっているため、より深刻な影響を受ける可能性がある。

Apache NiFi は、データフロー自動化パイプラインの構築に広く利用されているため、機密データや規制対象データ・ストリームを扱う組織にとって、この脆弱性はきわめて深刻なものとなる。ユーザーに対して強く推奨されるのは、Apache NiFi 2.8.0 以降へ速やかにアップグレードし、すべての Restricted コンポーネントの更新に対して、適切な認可が強制されることを確認することだ。

なお、Apache は、”security@nifi.apache.org” の非公開セキュリティ・メーリングリストを通じた責任ある脆弱性開示を推奨しており、検証済みの修正版が公開されるまで技術的詳細を公表しないよう求めている。

脆弱性 CVE-2026-25903 (High) の原因は、Apache NiFi において Restricted と注釈されたコンポーネントの設定更新時に、認可チェックが欠如していた点にあります。本来は、追加時に高い権限を必要とする設計ですが、追加後のプロパティ変更において十分な検証が行われていませんでした。その結果、低権限ユーザーであっても、機微なデータフロー設定や処理ロジックを改変できる状態となり、認可バイパスが成立してしまいます。影響範囲は 1.1.0〜2.7.2 であり、2.8.0 で修正されています。ご利用のチームは、ご注意ください。よろしければ、Apache NiFi での検索結果も、ご参照ください。