CVE-2023-34468
أباتشي NiFi: إمكانية حقن برمجي مع خدمات قواعد البيانات باستخدام H2
- تم النشر
- 12/06/2023
- محدث
- 13/02/2025
- تخصيص CNA
- apache
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.2%
- تاريخ الموديل
- 17/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
خدمات التحكم DBCPConnectionPool و HikariCPConnectionPool في Apache NiFi من الإصدار 0.0.2 حتى 1.21.0 تسمح لمستخدم مُصادَق ومُخوَّل بتكوين عنوان قاعدة بيانات (Database URL) باستخدام برنامج تشغيل H2 مما يتيح تنفيذ كود مخصص. يعمل الحل على التحقق من عنوان قاعدة البيانات ورفض مواقع H2 JDBC. يُنصح بالترقية إلى الإصدار 1.22.0 أو أحدث والذي يعمل على إصلاح هذه المشكلة.
المصادر
modules/exploits/linux/http/apache_nifi_h2_rce.rb
Metasploit Framework modulesالشروط المعلنة
- platform: Unix($.exploit_linux/http/apache_nifi_h2_rce.platform)
- verification: check_declared($.exploit_linux/http/apache_nifi_h2_rce.check)
- CVE-2023-34468استغلال
CVE-2023-34468 - Apache NiFi H2 RCE PoC
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.