結論
この脆弱性はApache Flussのバージョン0.8.0および0.9.0に影響を与え、認証されていないリモート攻撃者によってJVMヒープメモリを枯渇させることが可能です。利用者はバージョン0.9.1にアップグレードすることが推奨されます。
この記事の要点
- Apache Flussのバージョン0.8.0および0.9.0に影響。
- 認証不要でリモートから攻撃可能。
- JVMヒープメモリの枯渇によるサービス拒否。
- バージョン0.9.1へのアップグレードが推奨される。
脆弱性の概要
Apache Flussのバージョン0.9.1以前では、Netty LengthFieldBasedFrameDecoderが最大フレーム長をInteger.MAX_VALUEに設定しているため、認証されていないリモート攻撃者が特別に作成されたフレームヘッダーを送信することで、TabletServerおよびCoordinatorServerのJVMヒープメモリを枯渇させ、サービス拒否を引き起こす可能性があります。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-49361 |
| 公開日 | 2026-06-01T09:16:20.880000Z |
| 対象システム | Apache Fluss 0.8.0, 0.9.0 |
| 脆弱性の種類 | サービス拒否 (DoS) |
| CVSSスコア | 7.5 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- 使用しているApache Flussのバージョンを確認する。
- 影響を受けるバージョンを使用している場合は、すぐにアップグレードを行う。
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-49361
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-49361
- security@apache.org：https://lists.apache.org/thread/dccw6tj0njwtmvbftq13mw7fdhsok373
- af854a3a-2127-422b-91ae-364da2661108：http://www.openwall.com/lists/oss-security/2026/05/30/5
対象システムと影響範囲
Apache Flussのバージョン0.8.0および0.9.0を使用しているシステムが影響を受けます。これらのバージョンでは、認証されていないリモート攻撃者による攻撃が可能です。
被害内容
この脆弱性が悪用された場合、JVMヒープメモリが枯渇し、サービスが停止する可能性があります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
ユーザーはApache Flussをバージョン0.9.1にアップグレードすることが推奨されています。
FAQ
Q1. どの製品が影響を受けますか？
Apache Flussのバージョン0.8.0および0.9.0が影響を受けます。
Q2. まず何をすればよいですか？
使用しているバージョンを確認し、影響を受ける場合はアップグレードを行ってください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント