CVE-2026-40564 in Flink Kubernetes Operator
Resumen
por VulDB • 2026-06-05
Acceso a archivos o directorios por parte de partes externas; vulnerabilidad de Server-Side Request Forgery (SSRF) en Apache Flink Kubernetes Operator.
Actualmente no se valida que el parámetro jarURI de FlinkSessionJob apunte a archivos propiedad del usuario o a direcciones controladas por este, lo que permite a un usuario con permisos para crear recursos personalizados (CR) leer archivos desde el sistema de ficheros del pod del operador y extraer contenido desde cualquier almacén subyacente accesible a través de la capa de sistema de fichajes plugable de Flink, accediendo a ellos mediante el trabajo de Flink enviado. Además, al obtener datos desde direcciones http/https, actualmente no existe una lista blanca para los esquemas URI, ni se realiza ninguna comprobación del host, restricción por rango IP o protección contra la redirección del URI hacia direcciones internas o link-local. Este problema afecta a Apache Flink Kubernetes Operator: desde la versión 1.3.0 hasta antes de la 1.15.0.
Se recomienda a los usuarios actualizar a la versión 1.15.0, que corrige el problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.