Apache SeaTunnelに未認証アクセスの脆弱性(CVE-2025-32896)

大規模データ統合プラットフォーム「Apache SeaTunnel」において、未認証の攻撃者による任意ファイルの読み取りやリモートコード実行（RCE）が可能となる深刻な脆弱性「CVE-2025-32896」が発見されました。パッチはリリースされているのでアップデートする事をお勧めします。

脆弱性の対象バージョン

Apache SeaTunnel 2.3.1 から 2.3.10

脆弱性の対策バージョン

2.3.11以上

脆弱性の概要

問題の原因は、以下の旧バージョンAPIエンドポイントに認証処理が存在しなかったことにあります。

このAPIは、外部からのRESTfulなジョブ投入に対応していますが、バージョンv1においては認証なしに誰でもアクセスできてしまうという設計上の欠陥がありました。

攻撃者はこのエンドポイントを通じて、次のような攻撃を実行が可能になります。

• サーバ上の任意ファイル読み取り
  MySQL接続URLなどのパラメータにファイルパスを指定し、意図しないサーバ内部ファイルを読み出すことが可能。

• Javaオブジェクトの逆直列化によるコード実行
  悪意あるオブジェクトをシリアライズして送信することで、任意のコードをSeaTunnel内で実行する攻撃（Deserialization Attack）を行うことが可能。

これにより、内部システムへの不正侵入や、バックエンド資源の窃取、サービスの乗っ取りといった深刻な被害が想定されますので対象者はアップデートして対策する事をお勧めします。

SeaTunnelとは

Apache SeaTunnelは、分散環境における大規模なデータ同期処理を支える高性能なETL（Extract, Transform, Load）エンジンです。クラウドからオンプレミスまで幅広いデータソースの統合を可能にし、多くの企業やサービスプロバイダで採用されています。