CVE-2023-34468
उच्चप्रकाशित
Apache NiFi: H2 का उपयोग करने वाली डेटाबेस सेवाओं के साथ संभावित कोड इंजेक्शन
- प्रकाशित
- 12 जून 2023
- अद्यतन
- 13 फ़र॰ 2025
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
8.8/ 10उच्च
Apache NiFi: H2 का उपयोग करने वाली डेटाबेस सेवाओं के साथ संभावित कोड इंजेक्शन
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
Apache NiFi 0.0.2 से 1.21.0 तक के संस्करणों में DBCPConnectionPool और HikariCPConnectionPool कंट्रोलर सेवाएं एक प्रमाणित और अधिकृत उपयोगकर्ता को H2 ड्राइवर के साथ डेटाबेस URL कॉन्फ़िगर करने की अनुमति देती हैं, जो कस्टम कोड निष्पादन को सक्षम बनाता है। यह समाधान डेटाबेस URL को मान्य करता है और H2 JDBC स्थानों को अस्वीकार करता है। आपको संस्करण 1.22.0 या उसके बाद के संस्करण में अपग्रेड करने की अनुशंसा की जाती है, जो इस समस्या को ठीक करता है।
modules/exploits/linux/http/apache_nifi_h2_rce.rb
CVE-2023-34468 - Apache NiFi H2 RCE PoC
CVE-2023-34468: Apache NiFi में DB घटकों के माध्यम से रिमोट कोड निष्पादन
CVE-2023-34468 Apache NiFi ExecuteSQL H2 RUNSCRIPT RCE PoC
CVE-2023-34468 के लिए PoC एक्सप्लॉइट — Apache NiFi <= 1.21.0 में H2 RUNSCRIPT के माध्यम से RCE
Apache NiFi को प्रभावित करने वाले CVE-2023-34468 के लिए शैक्षिक proof-of-concept। यह कमजोर NiFi संस्करणों में प्रमाणित RCE की ओर ले जाने वाले H2 JDBC URL दुरुपयोग को प्रदर्शित करता है।
Apache NiFi CVE-2023-34468 के लिए एक्सप्लॉइट, संस्करण 1.21.0 और उससे पहले के संस्करणों में एक कमजोरी को लक्षित करता है ताकि डेटा एक्सेस और सिस्टम समझौते का प्रदर्शन किया जा सके।
Hackthebox Helix मशीन का राइटअप, जिसमें CVE-2023-34468 का शोषण और पेनेट्रेशन टेस्टिंग के चरणों का विवरण दिया गया है।
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।