Se ha revelado una vulnerabilidad crítica en Apache Flink (CVE-2026-35194) que permite la ejecución remota de código (RCE). El fallo se encuentra en el mecanismo de generación de código SQL, donde una falta de sanitización de las entradas del usuario permite ataques de inyección SQL en entornos de procesamiento de datos distribuidos.

Una vulnerabilidad crítica recientemente revelada en Apache Flink, identificada como CVE-2026-35194, expone los entornos de procesamiento de datos distribuidos a ataques de ejecución remota de código (RCE) a través de fallos de inyección SQL en el motor de generación de código de la plataforma.

El fallo reside en el mecanismo de generación de código SQL de Apache Flink, donde la entrada proporcionada por el usuario no se sanea adecuadamente antes de ser incrustada en el código Java generado dinámicamente.

Esto permite que los usuarios autenticados con privilegios de envío de consultas inyecten cargas maliciosas que escapan de los límites de cadena previstos y ejecuten código arbitrario.

Específicamente, la vulnerabilidad afecta a:

• Las funciones JSON que fueron introducidas en la versión 1.15.0 de Flink.
• Las expresiones LIKE con cláusulas ESCAPE que fueron introducidas en la versión 1.17.0.

Al explotar estos componentes, los atacantes pueden diseñar consultas SQL que manipulen el proceso de generación de código, logrando finalmente la ejecución de código arbitrario en los nodos TaskManager dentro de un clúster de Flink.

Según el aviso, las siguientes versiones son vulnerables:

• Apache Flink 1.15.0 hasta 1.20.x (antes de la 1.20.4).
• Apache Flink 2.0.0 hasta 2.x (antes de la 2.0.2, 2.1.2 y 2.2.1).

El colaborador de Apache, Martijn Visser, reveló públicamente el problema el 15 de mayo de 2026 y lo calificó como crítico debido a su impacto en los clústeres de producción.

Vulnerabilidad de Apache Flink

La causa raíz reside en la interpolación de cadenas insegura durante la traducción de código SQL a Java.

La entrada controlada por el usuario se inserta directamente en el código generado sin la validación o el escape adecuados. Esto permite a los atacantes:

• Salir de los literales de cadena en el código Java generado.
• Inyectar expresiones Java arbitrarias o llamadas a métodos.
• Ejecutar código malicioso a través de los nodos TaskManager distribuidos.

Dada la arquitectura de Flink, una explotación exitosa puede conducir al compromiso total del clúster, la manipulación de datos o el movimiento lateral dentro del entorno.

La vulnerabilidad es particularmente peligrosa en entornos multi-inquilino o compartidos donde los usuarios tienen permisos de ejecución de consultas.

Incluso sin privilegios administrativos, un atacante puede escalar sus capacidades y ganar el control sobre los nodos de procesamiento del backend.

Apache ha lanzado versiones parcheadas para solucionar el problema e insta a los usuarios a actualizar inmediatamente a las versiones 1.20.4, 2.0.2, 2.1.2 o 2.2.1.

Los pasos de mitigación adicionales incluyen:

• Restringir los privilegios de envío de consultas a usuarios confiables.
• Monitorear la actividad de las consultas SQL en busca de patrones anómalos.
• Implementar controles de seguridad en tiempo de ejecución en los nodos TaskManager.

Las organizaciones que utilicen Apache Flink en entornos de producción deben priorizar el parcheo, ya que la explotación podría resultar en graves riesgos operativos y de seguridad de los datos.