CVE-2024-56512
Apache NiFi : Autorisation complète manquante pour les références de paramètres et de services
- Publié
- 28 déc. 2024
- Mise à jour
- 30 déc. 2024
- Attribution de CNA
- apache
- Preuve observée
- 25 août 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:P/AU:Y/R:U/V:C/RE:L/U:GreenFaible · 30 prochains jours
- Percentile
- 88,1 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Apache NiFi 1.10.0 à 2.0.0 ne vérifient pas de manière fine les autorisations pour les Contextes de Paramètres, les Services de Contrôleur référencés et les Fournisseurs de Paramètres référencés, lors de la création de nouveaux Groupes de Processus. La création d'un nouveau Groupe de Processus peut inclure la liaison à un Contexte de Paramètres, mais dans les cas où le Groupe de Processus ne référençait aucune valeur de Paramètre, le framework ne vérifiait pas l'autorisation de l'utilisateur pour le Contexte de Paramètres lié. L'absence d'autorisation pour un Contexte de Paramètres lié permettait aux clients de télécharger des valeurs de Paramètres non sensibles après la création du Groupe de Processus. La création d'un nouveau Groupe de Processus peut également inclure la référence à des Services de Contrôleur ou des Fournisseurs de Paramètres existants. Le framework ne vérifiait pas l'autorisation de l'utilisateur pour les Services de Contrôleur ou les Fournisseurs de Paramètres référencés, permettant aux clients de créer des Groupes de Processus et d'utiliser ces composants sans y être autrement autorisés. Cette vulnérabilité se limite aux utilisateurs authentifiés autorisés à créer des Groupes de Processus. La portée est en outre limitée aux déploiements dotés de politiques d'autorisation basées sur les composants. La mise à niveau vers Apache NiFi 2.1.0 est la mesure d'atténuation recommandée, qui inclut la vérification des autorisations pour les références de Paramètres et de Services de Contrôleur lors de la création de Groupes de Processus.
Sources
http/cves/2024/CVE-2024-56512.yaml
Nuclei TemplatesConditions déclarées
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
Un outil pour exploiter la vulnérabilité CVE-2024-56512 dans Apache NiFi, qui permet un accès non autorisé à des données sensibles via des API insuffisamment sécurisées.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.